JBoss反序列化漏洞(CVE-2017-12149)复现

发表于： 2020年6月17日 2020年7月1日
分类： CVE复现

0x00：前言
0x01：环境搭建
0x02：漏洞复现
0x03：修复建议
0x04：参考

0x00：前言
0x01：环境搭建
0x02：漏洞复现
0x03：修复建议
0x04：参考

0x00：前言

JBoss 反序列化漏洞，该漏洞位于JBoss的HttpInvoker组件中的 ReadOnlyAccessFilter 过滤器中，其doFilter方法在没有进行任何安全检查和限制的情况下尝试将来自客户端的序列化数据流进行反序列化，导致恶意访问者通过精心设计的序列化数据执行任意代码。但近期有安全研究者发现JBossAS 6.x也受该漏洞影响，恶意访问者利用该漏洞无需用户验证即可获得服务器的控制权。该漏洞的细节和验证代码已公开，为避免造成损失，建议及时修复升级至JBossAS 7版本

影响版本：

Jboss AS 5.x
JbossAS 6.x

Java序列化，简而言之就是把java对象转化为字节序列的过程。而反序列话则是再把字节序列恢复为java对象的过程，然而就在这一转一变得过程中，程序员的过滤不严格，就可以导致攻击者恶意构造的代码的实现。

举个简单的例子，jboss的反序列化漏洞出现在jboss\server\all\deploy\httpha-invoker.sar\invoker.war\WEB-INF\classes\org\jboss\invocation\http\servlet目录下的ReadOnlyAccessFilter.class文件中的doFilter中。

public void doFilter(ServletRequest request,ServletResponse response,FilterChain chain)
throw IOException,ServletException
{
HttpServletRequest httpRequest=(HttpServletRequest)request;
Principal user=httpRequest.getUserPrincipal();
if((user=null)&&(this.readOnlyContext!=null))
{
ServletInputStream sis=request.getInputStream();
ObjectInputStream ois=new ObjectInputStream(sis);
MarshalledInvocation mi=null;
try
{
mi=(MarshalledInvocation)ois.readObject();
}
catch(ClassNotFountException e)
{
throw new ServletException("Failed to read MarshalledInvocation",e);
}
request.serAttribute("MarshalledInvocation",mi);

mi.setMethodMap(this.namingMethodMap);
Method m=mi.getMethod();
if(m!=null){
validateAccess(m,mi)
}
}
chain.doFilter(request,response);
}

程序获取http数据保存到了httpRequest中，序列化后保存到了ois中，然后没有进行过滤操作，直接使用了readObject（）进行了反序列化操作保存到了mi变量中，这其实就是一个典型的java反序列化漏洞。