RMI反序列化分析

RMI介绍

RMI全程Remote Method Invocation （远程方法引用），RMI有客户端和服务端，还有一个注册中心，在java中客户端可以通过RMI调用服务端的方法，流程图如下：

• Client-客户端：客户端调用服务端的方法
• Server-服务端：远程调用方法对象的提供者，也是代码真正执行的地方，执行结束会返回给客户端一个方法执行的结果
• Registry-注册中心：其实本质就是一个map，相当于是字典一样，用于客户端查询要调用的方法的引用，在低版本的JDK中，Server与Registry是可以不在一台服务器上的，而在高版本的JDK中，Server与Registry只能在一台服务器上，否则无法注册成功

RMI的简单使用

服务端

准备三个文件，接口，实现接口的类，服务端

package org.example.server;

import java.rmi.Remote;
import java.rmi.RemoteException;

public interface RMIMethodServer extends Remote {
    public String sayHello(String key) throws RemoteException;
}

package org.example.server.impl;

import org.example.server.RMIMethodServer;

import java.rmi.RemoteException;
import java.rmi.server.UnicastRemoteObject;

public class RMIMethodImpl implements RMIMethodServer {
    public RMIMethodImpl() throws RemoteException {
        UnicastRemoteObject.exportObject(this, 0);
    }

    @Override
    public String sayHello(String key){
        System.out.println(key.toUpperCase());
        return key.toUpperCase();
    }
}

package org.example;

import org.example.server.RMIMethodServer;
import org.example.server.impl.RMIMethodImpl;

import java.rmi.AlreadyBoundException;
import java.rmi.RemoteException;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;

public class RMIServer{
    public static void main(String[] args) throws RemoteException, AlreadyBoundException {
        RMIMethodServer remoteServer = new RMIMethodImpl();
        // 注册中心
        Registry r = LocateRegistry.createRegistry(7788);
        // 绑定对象到注册中心
        r.bind("remoteServer", remoteServer);
    }
}

客户端

package org.example;

import org.example.server.RMIMethodServer;

import java.rmi.NotBoundException;
import java.rmi.RemoteException;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;

public class RMIClient {
    public static void main(String[] args) throws RemoteException, NotBoundException {
        Registry r = LocateRegistry.getRegistry("127.0.0.1", 7788);
        RMIMethodServer remoteServer = (RMIMethodServer) r.lookup("remoteServer");
        remoteServer.sayHello("I am handsome");
    }
}

先运行服务端，在运行客户端，可以看到服务端有输出

RMI创建流程分析

创建远程对象

第一步创建实现类对象

创建注册中心和绑定

进入createRegistry

客户端请求注册中心(客户端被攻击)

这里重点在注册后使用了lookup方法，我们调试进去，调试个鸡毛，这是个class文件

漏洞点一

先获取了一个输出流，获得服务端序列化结果，之后在后面调用readObject反序列化，这里一看就有漏洞，如果服务端的返回是恶意的，直接就被rce了

漏洞点二

super.ref.invoke这东西看着就像漏洞，这里的ref是UnicastRef,我们跟进去

漏洞点三

我们调用的是lookup方法，那其它方法是不是也能利用，一看，全都调用了invoke方法，攻击点都是漏洞点二

客户端请求服务端(客户端被攻击)

漏洞点分析

由于获取的remoteServer是动态代理类，所以会调用invoke方法

客户端请求服务端(注册中心被攻击)

创建注册中心的流程走一边走到listen里，看这个线程

• bind : 0
• list : 1
• lookup : 2
• rebind : 3
• unbind : 4

如果客户端传入恶意对象，那注册中心就会被反序列化攻击

客户端请求服务端(服务端被攻击)

回到上面的oldDispatch处，过了这个继续往下，调用unmarshalValue,很熟

客户端请求服务端(DGC)

DGC就是RMI里垃圾回收机制，具体介绍如下：

分布式垃圾回收，又称 DGC，RMI 使用 DGC 来做垃圾回收，因为跨虚拟机的情况下要做垃圾回收没办法使用原有的机制。我们使用的远程对象只有在客户端和服务端都不受引用时才会结束生命周期。

而既然 RMI 依赖于 DGC 做垃圾回收，那么在 RMI 服务中必然会有 DGC 层，在 yso 中攻击 DGC 层对应的是 JRMPClient，在攻击 RMI Registry 小节中提到了 skel 和 stub 对应的 Registry 的服务端和客户端，同样的，DGC 层中也会有 skel 和 stub 对应的代码，也就是 DGCImpl_Skel 和 DGCImpl_Stub，我们可以直接从此处分析，避免冗长的 debug。

这个有点复杂，没太看懂，学会了再补充..............

热门相关：我向斐少撒个娇   视死如归魏君子   神医娘亲：腹黑萌宝赖上门   天龙剑尊   世界第一校长