<bdo id="2b3yk"><code id="2b3yk"></code></bdo>

  • <output id="2b3yk"><sup id="2b3yk"></sup></output>
    <output id="2b3yk"><ruby id="2b3yk"></ruby></output>
  • <code id="2b3yk"><delect id="2b3yk"></delect></code>

  • Apache Spark RPC協議中的反序列化漏洞分析

    2019-01-25 64528人圍觀 漏洞

    前言

    在前一陣,Spark官方發布了標題為《CVE-2018-17190: Unsecured Apache Spark standalone executes user code》的安全公告。

    公告中指明漏洞影響版本為全版本,且沒有標明已修復的版本,只有相關緩解措施。

    官方緩解措施如下:在任何未受到不必要訪問保護的Spark單機群集上啟用身份驗證,例如通過網絡層面限制。使用spark.authenticate和相關的安全屬性。

    查詢了相關文檔,spark.authenticate是RPC協議中的一個配置屬性,此參數控制Spark RPC是否使用共享密鑰進行認證。

    Spark RPCS

    park RPC 是一個自定義的協議。底層是基于netty4開發的,相關的實現封裝在spark-network-common.jar和spark-core.jar中,其中前者使用的JAVA開發的后者使用的是scala語言。

    協議內部結構由兩部分構成header和body,header中的內容包括:整個frame的長度(8個字節),message的類型(1個字節),以及requestID(8個字節)還有body的長度(4個字節)

    body根據協議定義的數據類型不同略有差異.

    1.jpg

    RpcRequest消息類型的body大致由兩部分構造,前半部分包含通信雙方的地址和端口以及名字信息,接下來就是java序列化后的內容ac ed 00 05開頭。

    2.jpg

    消息類型為RpcResponse的body就直接是java反序列后的內容。

    3.jpg

    搭建Spark單獨集群服務器

    從官網下載,然后通過-h指定IP地址,讓端口監聽在所有的網卡上./start-master.sh -h 0.0.0.0 -p 70774.

    證明服務端存在反序列化過程

    spark_exploit.py 通過第一個參數和第二個參數指明遠程spark集群的連接信息,第三個參數為JAVA反序列化漏洞payload。

    通過調用 build_msg 函數將 payload 構建到消息中再發送給服務端,過程比較簡單。

    5.jpg6.jpg

    反向操作客戶端

    evil_spark_server.py 腳本通過繼承BaseRequestHandler類完成了一個簡單的TCP服務,對發送過來的數據提取出request_id, 然后再調用build_msg,將request_id和payload構成合法的RPC響應數據包發送給客戶端。

    7.jpg

    啟動服務

    8.png

    使用spark客戶端進行連接

    9.png

    10.jpg

    總結

    通過抓包看請求數據以及閱讀相關代碼,逐步確定RPC協議中的請求數據。客戶端和服務端都使用了JAVA序列化來傳輸數據,兩邊都可以進行利用。

    當反過頭來想利用反序列化來執行系統命令時,查找ysoserial發現除利用低版本jdk構造利用鏈外,并無其他合適的gadget。

    隨著時間的推移,各個庫中的漏洞都將被修復和升級,已有的gadget將不再起作用。java 反序列化漏洞終將成為歷史。

    參考

    1、https://spark.apache.org/security.html

    2、https://zhuanlan.zhihu.com/p/28893155

    *本文作者:斗象能力中心TCC-星光,轉載請注明來自FreeBuf.COM

    取消
    Loading...
    css.php 宁夏卫视在线直播观看