nice0e3

Java安全之Weblogic 2016-3510 分析

首发安全客:Java安全之Weblogic 2016-3510 分析

0x00 前言

续前面两篇文章的T3漏洞分析文章,继续来分析CVE-2016-3510漏洞,该漏洞一样是基于,前面的补丁进行一个绕过。

Java安全之初探weblogic T3协议漏洞

Java安全之Weblogic 2016-0638分析

0x01 工具分析

这里还需要拿出上次的weblogic_cmd的工具来看一下CVE-2016-3510的命令执行payload怎么去进行构造。

来到源码中的Main这个入口点这里,前面的TYPE需要修改为marshall,因为这次是需要使用到MarshalledObject来进行封装对象。

填入参数,打个断点测试一下。

前面的都分析过了,在此略过,主要是这张图片里面的地方传入命令,并且生成payload,跟踪进行查看。

这里的blindExecutePayloadTransformerChain方法是返回构造利用链的Transformer[]数组内容,这里主要来跟踪serialData方法。

该方法中是将刚刚构造好的Transformer[]数组传入进来,联合下面的代码构造成了一个恶意的对象,然后调用BypassPayloadSelector.selectBypass方法处理这个恶意的对象。跟踪查看该方法的实现。

这个位置调用了marshalledObject方法处理payload,跟踪查看。

marshalledObject内部使用了MarshalledObject的构造方法,将payload作为参数传递进去。然后得到该值。这里payload就构造好了。

跟踪进MarshalledObject里面进行查看。

这个地方又new了一个MarshalledObject.MarshalledObjectOutputStream对象,跟踪查看。

MarshalledObject.MarshalledObjectOutputStream继承了ObjectOutputStream对象,并且调用的是父类的构造器。这就和直接new一个ObjectOutputStream没啥区别。

var1是我们传递进来的payload,在这里使用的是CC1的利用链,var1也就是一个恶意的AnnotationInvocationHandler对象。var2是ByteArrayOutputStream对象,var3相当于是一个ObjectOutputStream对象。在这里会将var1 的内容进行序列化后写入到var2里面。

而序列化后的对象数据会被赋值给MarshalledObjectthis.objBytes里面。

执行完成,退回到这一步过后,则是对构造好的MarshalledObject对象调用Serializables.serialize方法进行序列化操作。

0x02 漏洞分析

在前面并没有找到CVE-2016-0638漏洞的补丁包,那么在这里也可以直接来看到他的利用方式。

前面CVE-2016-0638这个漏洞是基于前面的补丁将payload序列化过后封装在weblogic.jms.common.StreamMessageImpl类里面,然后进行反序列化操作,StreamMessageImpl类会调用反序列化后的对象的readobject方法达成命令执行的操作。而补丁包应该也是在ClassFileter类里面将上次我们利用的weblogic.jms.common.StreamMessageImpl类给进行拉入黑名单中。

那么在该漏洞的挖掘中又找到了一个新的类来对payload进行封装,然后绕过黑名单的检测。

而这次使用得是weblogic.corba.utils.MarshalledObject类来进行封装payload,将payload序列化过后,封装到weblogic.corba.utils.MarshalledObject里面,然后再对MarshalledObject进行序列化MarshalledObject,MarshalledObject不在WebLogic黑名列表里面,可以正常反序列化,在反序列化时MarshalledObject对象调用readObject时,对MarshalledObject封装的序列化对象再次反序列化,这时候绕过黑名单的限制,对payload进行反序列化操作触发命令执行。

下面来直接看到weblogic.corba.utils.MarshalledObject#readResolve方法的位置

这地方就有意思了,前面在分析工具的时,我们得知构造的绕过方式是将payload序列化放在这个this.objBytes中,而在此如果调用MarshalledObject.readResolve方法就可以对被封装的payload进行反序列化操作。达到执行命令的效果。

在这里还需要思考到一个问题readResolve这个方法会在什么时候被调用呢?

在Weblogic从流量中的序列化类字节段通过readClassDesc-readNonProxyDesc-resolveClass获取到普通类序列化数据的类对象后,程序依次尝试调用类对象中的readObject、readResolve、readExternal等方法。而上一个CVE-2016-0638的漏洞就是借助的readExternal会被程序所调用的特点来进行绕过。我们这次使用的是readResolve这个方法,这个方法也是同理。

后面也还需要知道一个点,就是反序列化操作过后,readResolve具体是如何触发的?下来来断点查看就清楚了。

先在InboundMsgAbbrev.ServerChannelInputStream#resolveClass方法先打一个断点,payload发送完成后,在该位置停下。

在这这里可以看到传递过来的是一个MarshalledObject对象,不在黑名单中。

那么下面在readResolve上下个断点看一下调用栈。

在这里面会被反射进行调用,再前面的一些方法由于不是源代码进行调式的跟踪不了。

回到weblogic.corba.utils.MarshalledObject#readResolve方法中查看

和前面说的一样,这里new了一个ByteArrayInputStream对象,对this.objBytes进行读取,前面说过我们的payload封装在this.objBytes变量里面,而这时候new了一个ObjectInputStream并且调用了readObject方法进行反序列化操作。那么这时候我们的payload就会被进行反序列化操作,触发CC链的命令执行。

先来查看docker容器里面的内容

然后执行来到下一行代码中。

readobject执行过后,再来查看一下docker里面的文件有没有被创建。

文件创建成功,说明命令能够执行。

0x03 结尾

本文内容略少,原因是因为很多内容都是前面重复的,并不需要拿出来重新再叙述一遍。这样的话并没有太大的意义,如果没有分析过前面的两个漏洞,建议先从前面的CVE-2015-4852和CVE-2016-0638这两个漏洞调试分析起,调试分析完前面的后面的这些绕过方式理解起来会比较简单。

相关文章: