命令执行。

news2024/10/6 18:27:56

命令执行

在该项目的readme中，描述了怎么去调用的flink

通过java原生的runtime来调用flink，下一步就是去看看具体的调用过程了，是否存在可控的参数
找到具体提交命令的类方法CommandRpcClinetAdapterImpl#submitJob()

这里要确定command，是否可控，继续往上找在哪里调用了在JobBaseServiceAOImpl的submitJobForStandalone和submitJobForYarn俩个方法中都调用了submitJob，继续往上寻找哪里调用了这两个方法

在JobBaseServiceAOImpl#aSyncExecJob()方法中创建线程池的时候，正好创建了Runnable类来执行这些方法
继续往上找哪里调用了aSyncExecJob

这里的两个业务类JobStandaloneServerAOImpl和JobYarnServerAOImpl分别对应提交任务到本地，或者是远程Yarn服务，这里主要看本地的，远程Yarn需要配置，不好满足利用条件

在JobStandaloneServerAOImpl#start()中调用了aSyncExecJob，对应的controller层就是在JobConfigApiController#start()方法中
所以这里如果要测试的话就需要通过上面的绕过权限校验来创建一个额外的用户登录

创建一个新的jar包任务

这里的jar包是可以通过后台的第三方jar包管理上传的（仅作为文件使用，并不能解析），开启任务之后直接启动，进入start方法

getJobServerAO(id)根据id返回对应处理任务的类，进入JobStandaloneServerAOImpl#start

根据id返回对应的配置信息包含在JobConfigDTO类中
后续就是根据配置信息做一些处理，任务执行情况，参数是否合法，插入日志信息等

这里需要注意下writeSqlToFile()方法，在这个方法里面，把一些系统配置（flink的路径，项目的配置路径等信息，yran的地址，flink的地址）设置到了返回值中，后续需要使用，所以这里有利用前提，需要配置了系统的信息之后才会有这个rce的漏洞，不过在搭建环境的时候就需要配置这些系统信息，否则大部分的功能无法使用

系统信息

进入aSyncExecJob方法

这里没有使用到nacos，跳过第一个if，直接进入Runnable#run()方法

配置了一些输出的日志信息之后，设置jar包下载地址

在downJar(jobRunParamDTO, jobConfigDTO)中下载了对应的远程jar包
所以这里也算有一个ssrf，不过没什么太大的危害
然后进入到switch语句中，因为设置的是单机模式，所以进入STANDALONE中

在getFlinkAddress对flink_rest_http_address这个系统配置进行存活校验

进入buildRunCommandForCluster，创建执行flink的命令

先配置flink的可执行目录加上run -d
再根据address，savepointPath，是否为STANDALONE模式，存在第三方jar包等加入对应的命令

进入switch的JAR case中，这里就是在配置任务的时候设置的需要执行的类，这里就是外部可以控制的参数了
所以整体执行的命令是：
/javaTocms/flink-1.9.0/bin/flink run -d -c org.example.Main /javaTocms/tmp/udf_jar/evaljAR.jar
修改org.example.Main为需要执行的命令就可以了
回到submitJobForStandalone方法中