Java JDBC导致的反序列化攻击原理解析
这篇文章主要介绍了JavaJDBC导致的反序列化攻击原理解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
背景
上周BlackHatEurope2019的议题《NewExploitTechniqueInJavaDeserializationAttack》中提到了一个通过注入JDBCURL实现反序列化攻击的场景，简单分析一下。
分析
首先，当java应用使用MySQLConnector/J（官方的JDBC驱动，本文基于其8.0+版本）连接mysql时，JDBCURL的格式如下：protocol//[hosts]/[database]?properties，具体可看mysql官方文档，示例：jdbc:mysql://localhost:3306/test?useSSL=true
其中，protocol、host、database都比较好理解，URL中的properties可以设定MySQLConnector/J连接mysql服务器的具体方式，关于properties的官方文档地址，其中和本文相关的连接属性有两个，分别是autoDeserialize和queryInterceptors，前者是设定MySQLConnector/J是否反序列化BLOB类型的数据，后者是拦截器，在查询执行时触发，由com.mysql.cj.protocol.a.NativeProtocol#sendQueryPacket方法源码可知，会在执行查询语句前后分别调用拦截器的preProcess和postProcess方法。
接下来定位下反序列化的触发点，在mysql-connector-java组件下全局搜索关键字“.readObject()”，定位到com.mysql.cj.jdbc.result.ResultSetImpl类中的getObject(intcolumnIndex)方法，部分核心代码如下：
publicObjectgetObject(intcolumnIndex)throwsSQLException{
……
caseBLOB:
byte[]data=getBytes(columnIndex);
if(this.connection.getPropertySet().getBooleanProperty(PropertyDefinitions.PNAME_autoDeserialize).getValue()){
Objectobj=data;
//Serializedobject?
try{
ByteArrayInputStreambytesIn=newByteArrayInputStream(data);
ObjectInputStreamobjIn=newObjectInputStream(bytesIn);
obj=objIn.readObject();
}
}
}
变量data即为mysql返回结果集，当JDBCURL中设定属性autoDeserialize为true时，会对类型为bit、binary以及blob的数据进行反序列化，如何触发getObject(intcolumnIndex)方法的调用呢？议题中给出的调用链如下：
>com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor#preProcess/postProcess >com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor#populateMapWithSessionStatusValues >com.mysql.cj.jdbc.util.ResultSetUtil#resultSetToMap >com.mysql.cj.jdbc.result.ResultSetImpl#getObject
ServerStatusDiffInterceptor即为此前提到过的拦截器，在JDBCURL中设定属性queryInterceptors为ServerStatusDiffInterceptor时，执行查询语句会调用拦截器的preProcess和postProcess方法，进而通过上述调用链最终调用getObject(intcolumnIndex)方法。
实际利用还有一个问题，最终调用getObject方法的对象是数据库返回的结果集，由populateMapWithSessionStatusValues方法可知：
try{
toPopulate.clear();
stmt=this.connection.createStatement();
rs=stmt.executeQuery("SHOWSESSIONSTATUS");
ResultSetUtil.resultSetToMap(toPopulate,rs);
}
这个结果集是执行SQL语句“SHOWSESSIONSTATUS”后数据库返回的值，SQL语句“SHOWSESSIONSTATUS”返回当前数据库连接的状态值，实际是读取系统表INFORMATION_SCHEMA.SESSION_VARIABLES的值，也可能是PERFORMANCE_SCHEMA.SESSION_VARIABLES（Mysql版本差异导致）。但是mysql中INFORMATION_SCHEMA和PERFORMANCE_SCHEMA都是不允许被修改的，所以需要想办法操纵返回的数据。
利用条件
1.本质上还是Java原生的反序列化利用，所以需要环境中有可用的Gadget；
2.需要能伪造相关系统表的数据，将“SHOWSESSIONSTATUS”的执行结果设置为我们精心构造的反序列化数据，或者基于mysql连接协议，自定义返回数据，后面有时间的时候会写写这块儿。
3.可控的JDBCURL
以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持毛票票。
声明：本文内容来源于网络，版权归原作者所有，内容由互联网用户自发贡献自行上传，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任。如果您发现有涉嫌版权的内容，欢迎发送邮件至：czq8825#qq.com（发邮件时，请将#更换为@）进行举报，并提供相关证据，一经查实，本站将立刻删除涉嫌侵权内容。