漏洞的利用点是属于后台 dataxml.jsp文件。通过文件移动漏洞把原本后台漏洞移动到了前台可访问目录。就是把dataxml.jsp这个存在漏洞的后台jsp文件移动到前台未授权可访问目录。
这里就不对漏洞做分析了只研究怎么打内存马。
漏洞最终触发点
如上图可以看到还进行了一些黑名单匹配危险关键字防止漏洞被利用
看看黑名单有哪些
public String getFormulaDeserializeBlacklist() {String blackList = this.getValue("formulaDeserializeBlacklist");return StringUtil.isNull(blackList) ? "Reader;read;Writer;write;Socket;Thread;ThreadLocal;HttpRequest;ClassLoader;Serializable" : "Reader;read;Writer;write;Socket;Thread;ThreadLocal;HttpRequest;ClassLoader;Serializable;" + blackList;}
也就说我们的poc不包括这些关键字就能利用绕过方式还是非常多的
可以看到最终漏洞的触发点是interpreter.eval(m_script);是属于BeanShell组件。BeanShell这个组件的Interpreter api是能动态执行java代码的。漏洞到现在就很清晰了是java代码执行漏洞。
不出网打内存马poc
具体完整利用poc就不写了
原文始发于微信公众号（代码审计Study）：蓝凌oav16在野day打内存马分析
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论