【iPro案例分享】iPro解决各大主流JAVA应用反序列漏洞问题
  

江威 3387

{{ttag.title}}
1、背景介绍
2015年11月6日,FoxGlove Security安全团队的@breenmachine 发布的一篇博客中介绍了如何利用Java反序列化漏洞,来攻击最新版的WebLogic、WebSphere、JBoss、Jenkins、OpenNMS这些大名鼎鼎的Java应用,实现远程代码执行。

2、检测方法
检测用工具
该漏洞的利用方法目前已经有成型的工具,其中包括国外研究者编写的ysoserial,以及国内研究者编写的serial.jar,均可以生成攻击payload。
检测思路
拓扑结构:     
由于目前来说暂未发现可直接回显结果的方法,单纯检测包返回结果无法很精确的发现是否存在漏洞,因此我们采用了结合第三方的方式进行批量检查,检测服务器发送payload到受检测主机,受监测主机执行远程命令访问测试服务器打开的Web服务,登录测试服务器查看测试服务器的Web访问日志日志,确认受检测主机IP地址是否在日志文件上,测试服务器日志上存在受监测主机的IP地址,则可以确认受监测主机执行了命令,存在漏洞。                    
本次测试以使用最多的Weblogic为例,使用工具生成 payload ,payload中执行的命令为
其中x.x.x.x为我们搭建用于接受wget命令的测试服务器的IP
然后利用国外的POC进行修改,在代码后面加入远程读取服务器日志,并匹配日志中是否存在该IP地址,其中读取目标服务器访问日志,我们使用了一个技巧,即将目标服务器的Web访问日志做个硬链接到Web目录下,这样就可以远程直接读取Web日志进行比对,确认该IP是否存在安全漏洞:

运行结果:
在批量检测过程中,我们发现并不是说仅有7001存在该安全漏洞,部分站点80端口也存在该漏洞,因为只要是接受T3协议的端口均会存在该安全漏洞。
检测方法总结
优点:
该检测方法直接通过执行命令方式并查看执行结果的方式进行检测,准确率高。
缺点:
(1)若内网防火墙禁止内部主机主动访问外部,则无法成功检测,因此存在漏报的可能。
(2)对于windows下的主机,由于无wget命令,无法使用该方式检测。

3、解决方案
    前面检测方法中已经提到问题的根源在于接受T3协议的数据会存在该安全漏洞,所以,我们要做的就是拦截掉T3协议的数据。
  1. <font face="微软雅黑">local method = nil
  2. event HTTP_REQUEST {
  3.     method = HTTP.method()
  4.     --LOG.log(LOG.INFO, "method is "..method)
  5. }
  6. event HTTP_DISABLED {
  7.     if not method then
  8.         HTTP.close()
  9.     end
  10. }</font>
复制代码

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

feeling 发表于 2017-3-14 22:06
  
学习了
杨浩宇 发表于 2017-7-30 22:52
  
iPro大神啊
发表新帖
热门标签
全部标签>
西北区每日一问
安全效果
高手请过招
【 社区to talk】
每日一问
产品连连看
干货满满
标准化排查
新版本体验
社区新周刊
GIF动图学习
纪元平台
自助服务平台操作指引
技术咨询
解决方案
社区帮助指南
秒懂零信任
每周精选
功能体验
S豆商城资讯
技术盲盒
信服课堂视频
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
网络基础知识
安装部署配置
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
信服圈儿
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
答题榜单公布
2023技术争霸赛专题
通用技术
卧龙计划
华北区拉练
天逸直播
以战代练
技术晨报
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力

本版达人

新手61940...

本周建议达人

zhao_HN

本周分享达人

ZSFKF

本周提问达人