CVE-2017-3241-POC

POC لثغرة إلغاء تسلسل Java RMI

على الأرجح ستحتاج إلى استخدام JDK 8 لتشغيل هذا الـ POC.

فقط انتبه إلى فئة Message في كل من جانب العميل وجانب الخادم. إنهما مختلفتان. وهذا الاختلاف هو المفتاح لفهم هذه الثغرة.

الإصلاح الذي نشرته Oracle هو جعل المطور يكوّن قائمة بيضاء/سوداء لإلغاء التسلسل في سياسة أمان Java. وأنا أقول، كم من مطور سيعلم بوجود هذه القائمة حتى يتم اختراقه؟

فكرت في كتابة برنامج اختبار، لكنني كسول.. إذا فهمت الكود الخاص بي، يمكنك بسهولة كتابة الكود الخاص بك. أقترح عليك استخدام أداة java instrument أو reflection.

وتنفيذ التعليمات البرمجية عن بُعد ممكن إذا كانت بعض الفئات موجودة في classpath الخاص بالهدف:

http://seclist.us/proof-of-concept-exploit-showing-how-to-do-bytecode-injection-through-untrusted-deserialization.html

https://www.blackhat.com/docs/us-16/materials/us-16-Munoz-A-Journey-From-JNDI-LDAP-Manipulation-To-RCE.pdf

http://www.freebuf.com/vuls/126499.html

هذا البرنامج مخصص لأغراض التعليم والاختبار فقط. لا تستخدمه بدون إذن. لا تستخدمه لأغراض خبيثة. ينطبق إخلاء المسؤولية المعتاد، خاصة حقيقة أنني لست مسؤولاً عن أي أضرار ناتجة عن الاستخدام المباشر أو غير المباشر للمعلومات أو الوظائف المقدمة بواسطة هذه البرامج. لا يتحمل المؤلف أو أي مزود إنترنت أي مسؤولية عن المحتوى أو إساءة استخدام هذه البرامج أو أي مشتقات منها. باستخدامك لهذا البرنامج فإنك تقبل حقيقة أن أي ضرر (فقدان بيانات، تعطل النظام، اختراق النظام، وما إلى ذلك) ناتج عن استخدام هذه البرامج ليس من مسؤوليتي.