QLinspector

Encontrando cadeias de gadgets Java/C# com CodeQL. Mais informações no nosso artigo

Instalação

Clone o repositório

$ git clone https://github.com/synacktiv/QLinspector.git

Procure por gadgets:

$ codeql database analyze log4j --format=sarif-latest --output=log4j.sarif --search-path=./QLinspector/ synacktiv/qlinspector-java-queries

Queries

QLinspector.ql

A principal query CodeQL que pode ser usada para encontrar cadeias de gadgets.

aqui está um exemplo com a cadeia de gadgets Aspectj:

Executar a query acima às vezes pode retornar muitos falsos positivos. Para filtrá-los, a classe GadgetSanitizer foi adicionada. Você pode adicionar condições para filtrar DataFlow::Node:

/**
 * placeholder for adding sanitizing steps
*/
class GadgetSanitizer extends DataFlow::Node {
  GadgetSanitizer() {
    this.getEnclosingCallable().hasName("")
  }
}

QLinspectorOld.ql

Query antiga que foi inicialmente desenvolvida. Esta query não usa o modelo de taint do CodeQL, portanto pode retornar resultados diferentes.

BeanFactoryGadgetFinder.ql

Uma query que pode ser usada para encontrar novas cadeias de gadgets baseadas no org.apache.naming.factory.BeanFactory. A classe BeanFactory, permite criar uma instância de qualquer classe com um construtor padrão e chamar qualquer método público com um parâmetro String.

Mais informações neste blogpost: https://www.veracode.com/blog/research/exploiting-jndi-injections-java

CommonsBeanutilsGadgetFinder.ql

Uma query que pode ser usada para encontrar alternativas ao método getOutputProperties usado na cadeia CommonsBeanutils.

Mais informações aqui:

• https://www.praetorian.com/blog/relution-remote-code-execution-java-deserialization-vulnerability/
• https://mogwailabs.de/en/blog/2023/04/look-mama-no-templatesimpl/

ObjectFactoryFinder.ql

Uma query que pode ser usada para encontrar alternativas ao org.apache.naming.factory.BeanFactory. Isso pode ser útil durante a exploração de JNDI.

Mais informações neste blogpost: https://www.veracode.com/blog/research/exploiting-jndi-injections-java

Recursos

• https://www.synacktiv.com/publications/finding-gadgets-like-its-2015-part-1.html
• https://www.synacktiv.com/publications/finding-gadgets-like-its-2015-part-2.html
• https://www.synacktiv.com/publications/finding-gadgets-like-its-2022.html
• https://www.synacktiv.com/publications/java-deserialization-tricks
• https://www.praetorian.com/blog/relution-remote-code-execution-java-deserialization-vulnerability/
• https://www.veracode.com/blog/research/exploiting-jndi-injections-java
• https://mogwailabs.de/en/blog/2023/04/look-mama-no-templatesimpl/
• https://testbnull.medium.com/return-of-the-rhino-analysis-of-mozillarhino-gadgetchain-also-the-writeup-of-hitb-linkextractor-a2074b4ae624
• https://www.buaq.net/go-53869.html
• https://b1ue.cn/archives/529.html