Ermir

Ermir एक Evil/Rogue RMI रजिस्ट्री है, यह किसी भी Java कोड पर जो इस पर मानक RMI विधियों (list()/lookup()/bind()/rebind()/unbind()) का कॉल करता है, असुरक्षित डिसीरियलाइज़ेशन का शोषण करता है।

आवश्यकताएँ

Ruby v3 या उससे नया।

स्थापना

Ermir को rubygems.org से स्थापित करें:

$ gem install ermir

या रिपॉजिटरी क्लोन करें और जेम बनाएँ:

$ git clone https://github.com/hakivvi/ermir.git
$ rake install

उपयोग

Ermir एक cli जेम है, यह 2 cli फ़ाइलों ermir और gadgetmarshal के साथ आता है, ermir वास्तविक जेम है और बाद वाला GadgetMarshaller.java फ़ाइल के लिए एक आकर्षक इंटरफ़ेस है, जो Ysoserial के गैजेट्स को MarshalInputStream आवश्यकताओं से मेल खाने के लिए पुनर्लेखन करता है, आउटपुट को फिर ermir या एक फ़ाइल में पाइप किया जाना चाहिए, कस्टम गैजेट्स के मामले में अपने क्रमबद्ध ऑब्जेक्ट को आउटपुट स्ट्रीम में लिखने के लिए ObjectOutputStream के बजाय MarshalOutputStream का उपयोग करें।

ermir उपयोग:

➜  ~ ermir
Ermir by @hakivvi * https://github.com/hakivvi/ermir.
Info:
    Ermir is a Rogue/Evil RMI Registry which exploits unsecure Java deserialization on any Java code calling standard RMI methods on it.
Usage: ermir [options]
    -l, --listen   bind the RMI Registry to this ip and port (default: 0.0.0.0:1099).
    -f, --file     path to file containing the gadget to be deserialized.
    -p, --pipe     read the serialized gadget from the standard input stream.
    -v, --version  print Ermir version.
    -h, --help     print options help.
Example:
    $ gadgetmarshal /path/to/ysoserial.jar Groovy1 calc.exe | ermir --listen 127.0.0.1:1099 --pipe

gadgetmarshal उपयोग:

➜  ~ gadgetmarshal
Usage: gadgetmarshal /path/to/ysoserial.jar Gadget1 cmd (optional)/path/to/output/file

यह कैसे काम करता है?

java.rmi.registry.Registry 5 विधियाँ प्रदान करता है: list(), lookup(), bind(), rebind(), unbind():

public Remote lookup(String name): lookup() रजिस्ट्री में एक बाउंड ऑब्जेक्ट को उसके नाम से खोजता है, रजिस्ट्री एक Remote ऑब्जेक्ट लौटाती है जो खोजे गए रिमोट ऑब्जेक्ट को संदर्भित करता है, लौटाया गया ऑब्जेक्ट MarshalInputStream.readObject() का उपयोग करके पढ़ा जाता है जो ObjectInputStream के ऊपर एक और परत है, मूल रूप से यह प्रत्येक क्लास/प्रॉक्सी डिस्क्रिप्टर (TC_CLASSDESC/TC_PROXYCLASSDESC) के बाद एक URL की अपेक्षा करता है जिसका उपयोग इस क्लास या प्रॉक्सी क्लास को लोड करने के लिए किया जाएगा। यह वही जंगली बग है जिसे jdk7u21 में ठीक किया गया था। (Ermir इस URL को निर्दिष्ट नहीं करता क्योंकि केवल पुराने Java संस्करण ही कमजोर हैं, इसके बजाय यह केवल null लिखता है)। चूंकि Ysoserial गैजेट्स को ObjectOutputStream का उपयोग करके क्रमबद्ध किया जा रहा है, Ermir निर्दिष्ट गैजेट को MarshalInputStream आवश्यकताओं से मेल खाने के लिए क्रमबद्ध करने हेतु gadgetmarshal - के चारों ओर एक रैपर- का उपयोग करता है।

PoC

ermir

योगदान

बग रिपोर्ट और पुल अनुरोध GitHub पर https://github.com/hakivvi/ermir पर स्वागत है। यह परियोजना सहयोग के लिए एक सुरक्षित, स्वागत योग्य स्थान होने का इरादा रखती है, और योगदानकर्ताओं से आचार संहिता का पालन करने की अपेक्षा की जाती है।

लाइसेंस

यह जेम MIT License की शर्तों के तहत ओपन सोर्स के रूप में उपलब्ध है।

आचार संहिता

Ermir प्रोजेक्ट के कोडबेस, मुद्दा ट्रैकर्स, चैट रूम और मेलिंग सूचियों में बातचीत करने वाले सभी लोगों से आचार संहिता का पालन करने की अपेक्षा की जाती है।