QLinspector

CodeQL के साथ Java/C# गैजेट चेन खोजना। अधिक जानकारी हमारे लेख में

इंस्टॉलेशन

रिपॉजिटरी क्लोन करें

$ git clone https://github.com/synacktiv/QLinspector.git

गैजेट्स खोजें:

$ codeql database analyze log4j --format=sarif-latest --output=log4j.sarif --search-path=./QLinspector/ synacktiv/qlinspector-java-queries

क्वेरीज़

QLinspector.ql

मुख्य CodeQL क्वेरी जिसका उपयोग गैजेट चेन खोजने के लिए किया जा सकता है।

यहाँ Aspectj गैजेट चेन के साथ एक उदाहरण है:

उपरोक्त क्वेरी चलाने पर कभी-कभी बहुत सारे गलत सकारात्मक परिणाम मिल सकते हैं। उन्हें फ़िल्टर करने के लिए GadgetSanitizer क्लास जोड़ी गई है। आप DataFlow::Node को फ़िल्टर करने के लिए शर्तें जोड़ सकते हैं:

/**
 * placeholder for adding sanitizing steps
*/
class GadgetSanitizer extends DataFlow::Node {
  GadgetSanitizer() {
    this.getEnclosingCallable().hasName("")
  }
}

QLinspectorOld.ql

पुरानी क्वेरी जो शुरुआत में विकसित की गई थी। यह क्वेरी CodeQL के taint model का उपयोग नहीं करती है, इसलिए यह अलग परिणाम लौटा सकती है।

BeanFactoryGadgetFinder.ql

एक क्वेरी जिसका उपयोग org.apache.naming.factory.BeanFactory पर आधारित नई गैजेट चेन खोजने के लिए किया जा सकता है। BeanFactory क्लास, डिफ़ॉल्ट कंस्ट्रक्टर के साथ किसी भी क्लास का इंस्टेंस बनाने और एक String पैरामीटर के साथ किसी भी पब्लिक मेथड को कॉल करने की अनुमति देती है।

इस ब्लॉगपोस्ट में अधिक जानकारी: https://www.veracode.com/blog/research/exploiting-jndi-injections-java

CommonsBeanutilsGadgetFinder.ql

एक क्वेरी जिसका उपयोग CommonsBeanutils चेन में इस्तेमाल होने वाली getOutputProperties मेथड के विकल्प खोजने के लिए किया जा सकता है।

अधिक जानकारी यहाँ:

• https://www.praetorian.com/blog/relution-remote-code-execution-java-deserialization-vulnerability/
• https://mogwailabs.de/en/blog/2023/04/look-mama-no-templatesimpl/

ObjectFactoryFinder.ql

एक क्वेरी जिसका उपयोग org.apache.naming.factory.BeanFactory के विकल्प खोजने के लिए किया जा सकता है। यह JNDI शोषण के दौरान उपयोगी हो सकती है।

इस ब्लॉगपोस्ट में अधिक जानकारी: https://www.veracode.com/blog/research/exploiting-jndi-injections-java

संसाधन

• https://www.synacktiv.com/publications/finding-gadgets-like-its-2015-part-1.html
• https://www.synacktiv.com/publications/finding-gadgets-like-its-2015-part-2.html
• https://www.synacktiv.com/publications/finding-gadgets-like-its-2022.html
• https://www.synacktiv.com/publications/java-deserialization-tricks
• https://www.praetorian.com/blog/relution-remote-code-execution-java-deserialization-vulnerability/
• https://www.veracode.com/blog/research/exploiting-jndi-injections-java
• https://mogwailabs.de/en/blog/2023/04/look-mama-no-templatesimpl/
• https://testbnull.medium.com/return-of-the-rhino-analysis-of-mozillarhino-gadgetchain-also-the-writeup-of-hitb-linkextractor-a2074b4ae624
• https://www.buaq.net/go-53869.html
• https://b1ue.cn/archives/529.html