Java反序列化回显学习（一）

脉搏文库 TideSec
2023-03-14 7,754

前言

在测试某反序列化漏洞，可以通过URLDNS链确定漏洞是否存在但在利用时遇到了困难，相关利用链可以执行系统命令却无法得到回显。
因此需要在此基础修改利用链达到命令回显得目的，下边记录的即是此次修改的过程。

Java反序列化回显方法

根据搜索到的资料给出的常见回显方法有以下几种：1、报错回显：要求服务器将报错信息打印到页面。2、写文件：把执行结果写入静态文件置于web目录下再读取结果。3、DNSLOG回显：通过DNSLOG将执行结果带出（未实现）。4、中间件回显：获取response对象，结果写入response对象中带出。5、.....

报错回显

此法要求服务器将报错信息打印出来，修改要反序列化执行的Java代码将结果写入异常再抛出即可实现。

写文件回显

同样修改yso中Gadgets要执行的java代码即可实现，通过将执行结果写入web目录下的静态文件再读取来实现。此法的缺点是当目标不存在可访问静态web目录便无法使用了且要获取web目录的绝对路径，更适用于已知开发框架的反序列化漏洞利用。

DNSLOG

一般作为检测反序列化漏洞是否存在用，贴出URLDNS Gadget的验证过程。

中间件回显

中间件回显是目前所有反序列化工具中最为通用的方法，相比于上述的方法中间件回显有不需目标出网、没有目录限制等优势。中间件回显的原理简单来说是在运行的中间件中获取request&response对象，通过request对象获取执行参数等后将执行结果写入response对象带出完成回显。已知目标中间件为tomcat，参考feihong师傅公开的tomcat全版本回显测试代码来修改yso代码实现利用。Tomcat回显代码：

修改yso payload代码：
修改yso Gadgets代码：
实现回显：

总结

由于本菜鸡学习Java的路程不是很系统，在很多地方卡壳严重，还好最终实现了相关exp的编写。最后，感谢文中所用代码和知识的作者师傅们。

参考

https://www.cnblogs.com/nice0e3/p/14945707.html

E

N

D


本文作者：TideSec

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/197448.html

Tags: 、、、、
点赞： 1 评论：0 收藏： 0
新浪微博 QQ空间 微信扫一扫
评论  (0)
快来写下你的想法吧！

TideSec
文章数：145 积分： 185

安全问答社区

安全问答社区

脉搏官方公众号

脉搏公众号

活动日程

2022-06-17

Gdevops 全球敏捷运维峰会

2022-05-12

Mastering the Challenge！——来自The 3rd AutoCS 2022智能汽车信息安全大会的邀请函

2021-11-18

AutoSW 2021智能汽车软件开发大会

2021-06-27

2021中国国际网络安全博览会暨高峰论坛

2021-05-27

The 2nd AutoCS 2021智能汽车信息安全大会

2020-12-18

贝壳找房2020 ICS安全技术峰会

2020-12-11

全球敏捷运维峰会（Gdevops2020）

2020-12-04

2020京麒网络安全大会

2020-11-29

OPPO技术开放日第六期|聚焦应用与数据安全防护

2020-11-27

EISS-2020企业信息安全峰会之上海站 11.27

2020-09-24

CSDI summit中国软件研发管理行业技术峰会

2020-09-23

2020中国国际智慧能源暨能源数据中心与网络信息安全装备展览会

2020-07-31

EISS-2020企业信息安全峰会之北京站 | 7.31（周五线上）

2020-04-15

看雪.安恒 2020 KCTF 春季赛

2020-01-09

相约本地生活安全沙龙暨白帽子颁奖典礼