yaml-payload

Эксплойт-пейлоад для десериализации SnakeYAML для CVE-2022-1471, адаптированный из artsploit/yaml-payload (изначально основан на mbechler/marshalsec).

Что он делает

При загрузке через небезопасный Yaml.load() от SnakeYAML этот пейлоад перехватывает управление запущенным приложением и заменяет его страницей "You've Been PWNED":

1. Внедряет Tomcat Valve в запущенное Spring Boot приложение через рефлексию, перехватывая существующий порт 8080 — тот же URL (включая любой ngrok-туннель) теперь отдаёт страницу PWNED
2. Автоматически перенаправляет браузер — ответ на POST отправляет 302-редирект, поэтому браузер сразу загружает страницу PWNED без ручного обновления
3. Автоматически открывает браузер по правильному URL (публичный URL ngrok, если доступен, иначе localhost:8080)
4. Выводит доказательства эксплуатации в консоль/логи CI

Если внедрение Tomcat Valve недоступно (например, не-Spring приложение), он переключается на запуск отдельного HTTP-сервера на порту 9999 и автоматически создаёт ngrok-туннель, если ngrok запущен.

Это работает как локально на macOS, так и в CI/CD пайплайнах (например, GitHub Actions на Ubuntu).

Как работает цепочка эксплуатации

Пейлоад SnakeYAML запускает ScriptEngineManager через Java SPI (Service Provider Interface):