non_RCE复现

首先放出官方WP

https://mp.weixin.qq.com/s/yQ-00YaykUe41S0DdlgoiQ

面向官方WP复现一下

认证绕过

首先直接访问admin的话会401。我们来看一下代码

因为LoginFilter和AdminServlet的urlPatterns是相同的。所以经过AdminServlet的时候一定会经过LoginFilter。

在这里，必须知道password才能通过认证，但是题目又说，不可能得到密码。所以就需要绕了。

所以接下来的思路也很明确，就是如何能绕过LoginFilter。在AntiUrlAttackFilter中，有一段代码比较可疑：

这里吧./和;替换成了空，然后使用forward进行了转发。通过forward就能绕过LoginFilter了。

因为这里只拦截/admin/请求，所以我们从AntiUrlAttackFilter过来的请i去就不会拦截

http://127.0.0.1:8080/;admin/importData

这里把;替换为空后转发。

现在能访问admin了。

里面是一段mysql连接。

黑名单检测绕过

这里预期解是利用mysql jdbc的反序列化

jdbcUrl是我们可控的。但是有过滤

搜一下autoDeserialize就能发现一些文章。

https://www.anquanke.com/post/id/203086

过滤之后dbc url包含%或者autoDeserialize关键字都无法通过校验，导致doGet中直接return而无法进入下面的jdbc连接部分。

这里的预期解是利用黑名单检测逻辑存在的条件竞争问题，来绕过黑名单检测机制，黑名单检测几个关键的逻辑如下：

可以看到，这里生成了一个单例BlackListChecker对象，也就是说，在整个程序生命周期中，最多只会生成1个BlackListChecker对象，而tomcat在同时处理多个http请求时，会起多个线程，每个线程都会调用Servlet的处理逻辑，因此，在这里会有多个线程同时调用servlet.AdminServlet#doGet方法。

而如之前所说，整个程序生命周期中最多只会生成1个BlackListChecker对象，因此，这里存在多个线程对同一个对象做操作的情况。而在黑名单的检测逻辑checker.BlackListChecker#check方法中，会把待检测的字符串设置到BlackListChecker对象的toBeChecked成员变量中，再从toBeChecked中拿出来做字符串contains检测，因此，这里存在多个线程对同一个对象做写操作的情况，存在条件竞争问题。

这样一来，当恶意的jdbcUrl被绑定后。本来要进行check但接着马上有线程来一个正常的jdbcUrl，而只有一个实例，这时候会过了check，实例并不会进行拦截，因此恶意的jdbcUrl也得以继续执行。

然后就是自己搭一个恶意mysql服务器来打。

寻找利用链

为了方便调试，我们自己先写个exp框架用于本地调试

import java.io.ByteArrayInputStream;
import java.io.ByteArrayOutputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;

public class exp {
    public static void setFieldValue(Object obj, String fieldName, Object value) throws Exception {
        Field field = obj.getClass().getDeclaredField(fieldName);
        field.setAccessible(true);
        field.set(obj, value);
    }

    public static void main(String[] args){


        // ==================
        // 生成序列化字符串
        ByteArrayOutputStream barr = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(barr);
        oos.writeObject(handler);
        oos.close();

        // 本地测试触发
        // System.out.println(barr);
        ObjectInputStream ois = new ObjectInputStream(new ByteArrayInputStream(barr.toByteArray()));
        Object o = (Object) ois.readObject();
    }
}

我们可以通过pom.xml发现使用了aspectjweaver。

所以确定是用这个打的。

这道题和ysoserial不同的地方就是这道题是没有cc链的。而他自己写了一个DataMap类。是出题人为了防止不懂原理，直接用工具梭出来弄的。

在ysoserial中已经由gadget链了

从这个链，我们可以得知漏洞触发点在SimpleCache$StorableCachingMap.writeToPath()

漏洞点：可以写文件

所以我们需要找一个调用put函数，且参数可控的地方来触发这个漏洞。

我们从DataMap里寻找，发现了

这里使用了put方法。所以我们要想办法往这里靠。

继续看DataMap源码。发现DataMap#Entry中有hashcode方法，其中调用getValue然后调用了get方法。

而根据gadget chain。

只需要将key设置为DataMap#Entry类即可

所以利用链

HashSet.readObject()
    HashMap.put()
        HashMap.hash()
            DataMap$Entry.hashcode
                DataMap$Entry.getValue()
                    DataMap.get()
                        SimpleCache$StorableCachingMap.put()
                            SimpleCache$StorableCachingMap.writeToPath()
                                FileOutputStream.write()

参考

https://www.cnblogs.com/sijidou/p/14631154.html