【每日安全資訊】透過JBoss反序列化（CVE-2017-12149）淺談Java反序列化漏洞-知識星球

前段時間學校學習J2EE，用到了jboss，順便看了下jboss的反序列化，再淺談下反序列化漏洞。

Java序列化，簡而言之就是把java物件轉化為位元組序列的過程。而反序列話則是再把位元組序列恢復為java物件的過程，然而就在這一轉一變得過程中，程式員的過濾不嚴格，就可以導致攻擊者惡意構造的程式碼的實現。

舉個簡單的例子，jboss的反序列化漏洞出現在jboss\server\all\deploy\httpha-invoker.sar\invoker.war\WEB-INF\classes\org\jboss\invocation\http\servlet目錄下的ReadOnlyAccessFilter.class檔案中的doFilter中。

public void doFilter(ServletRequest request,ServletResponse response,FilterChain chain) throw IOException,ServletException { HttpServletRequest httpRequest=(HttpServletRequest)request; Principal user=httpRequest.getUserPrincipal(); if((user=null)&&(this.readOnlyContext!=null)) { ServletInputStream sis=request.getInputStream(); ObjectInputStream ois=new ObjectInputStream(sis); MarshalledInvocation mi=null; try { mi=(MarshalledInvocation)ois.readObject(); } catch(ClassNotFountException e) { throw new ServletException(“Failed to read MarshalledInvocation”,e); } request.serAttribute(“MarshalledInvocation”,mi); mi.setMethodMap(this.namingMethodMap); Method m=mi.getMethod(); if(m!=null){ validateAccess(m,mi) } } chain.doFilter(request,response); }

程式獲取http資料儲存到了httpRequest中，序列化後儲存到了ois中，然後沒有進行過濾操作，直接使用了readObject（）進行了反序列化操作儲存到了mi變數中，這其實就是一個典型的java反序列化漏洞。

復現jboss反序列化漏洞（CVE-2017-12149）

靶機 xp_sp3 10.10.1.34

CVE-2017-12149的主要影響範圍是jbossas 5.x和6.x，下載jboss5.1.0 GA並安裝（需要有java環境）。執行時如果發現只能透過localhost或者127.0.0.1進行訪問，可以透過執行時增加命令 run.bat -b 0.0.0.0 ，或新建start.bat 內容run.bat -b 0.0.0.0