我喜欢黑夜,喜欢网络安全,孤独寂寞的黑夜里,我只需要,一包烟,一台笔记本...
更多
首  页>>JAVA安全开发>> 漏洞信息Velocity Parse()函数引发的本地包含漏洞及利用方法
Velocity Parse()函数引发的本地包含漏洞及利用方法
3878
1推荐
0评论

Author:Thanks


Site:http://www.freebuf.com

一 背景及描述

Velocity是一个基于java的模板引擎(template engine),它允许任何人仅仅简单的使用模板语言(template language)来引用由java代码定义的对象。我们知道,越是功能强大、函数丰富的渲染层语言(从某种意义上来说,PHP也可归类为渲染层语言)越会带来一些安全问题。
有人认为,velocity不能像jsp一样编写java代码,是严格的mvc分离,所以相当安全。那么请看看这篇文章吧,相信看完之后你不会继续这么认为:)

二 什么是本地包含漏洞(LFI)

本地包含(LFI)是一项经典的web hacking技术,攻击者目的是将可控的包含恶意代码的文件引入,并以渲染层语言执行。由于语言特性(如include,require函数),此漏洞多发于PHP。

三 Velocity Parse()函数

官方定义The #parse script element allows the template designer to import a local file that contains VTL. Velocity will parse the VTL and render the template specified.

简单来说,Parse()函数是用来引入包含VTL的模板

常见用法:

    #parse("me.vm")

与之类似且易混淆的的是Include()函数,但需要注意的是,include函数引入文件内容不经过template engine处理。

常见用法

    #include("one.txt")

然而,在实际代码开发过程中,许多程序员会对变量进行拼接,写出以下代码(有不少真实案例,非YY):

    #parse("${path}.vm")

于是乎,当Path变量用户可控时,漏洞产生了

四 利用条件

1.parse中的变量用户可控
2.velocity的模版读取不只限定在web目录下
3.能够截断

尤其是后两个条件,看似非常苛刻。

但是如果仔细研究你会发现,不少架构师并不会将velocity模版目录限定于WEB-INF甚至Webapp目录下,这为我们的利用带来了可能性。

所以,在velocity.properties中,类似以下的配置都是危险

    resource.loader = filefile.resource.loader.class= org.apache.velocity.runtime.resource.loader.FileResourceLoaderfile.resource.loader.path =/opt/templatesfile.resource.loader.path =/home/myhome/other_root_path

五 利用方法

与传统LFI利用并无大的差别,总结来说无非有3种类型

1.文件跳转读取敏感信息

    http://test.com/index.php?page=../../../../../../../../../../etc/passwd%00

2.在上传点上传含有恶意vtl代码的jpg等文件,然后通过LFI进行包含以使得正常文件以vm解析。

3.修改http包,在请求url或user-agent处携带恶意VTL代码,再包含accesslog或/proc/self/environ以解析。

下面我们开始实战,也是用的LFI的经典利用手法之一

Step1 我们在图片文件中插入以下代码:

    #set($exec ="thanks")$exec.class.forName("java.lang.Runtime").getRuntime().exec("calc")

Step2 上传图片至服务器

Step3 通过本地包含漏洞点,进行目录跳转并%00截断,然后代码执行(下图以开一个计算器为例

QQ截图20120708223658

六 防御方法

1.velocity.properties文件进行类似如下配置

    resource.loader = webappwebapp.resource.loader.class= org.apache.velocity.tools.view.servlet.WebappLoaderwebapp.resource.loader.path=/WEB-INF/vm/

2.对用户提交的的参数进行../过滤

七 小结

国内关于java安全研究不多,明显的例子就是struts漏洞,常年无人问津直至前段时间出了利用程序才在国内火热起来。

已经有 ( 0 ) 位网友对此发表了自己的看法,你也评一评吧! 此文不错,我要推荐-->    推 荐
欢迎参与讨论,请在这里发表您的看法、交流您的观点@禁止各种脚本

  • 点击Top
  • 推荐Top
  • 评论Top
更 多>>
本站采用Java语言开发,Spring框架,欢迎朋友们提意见。重新对页面进行布局,修改了程序,方便开源使用,由于本人美工真的不行 ,很少用背景图片,页面基本都用背景色...
主题:无色无味 | 网站地图|
Copyright (c) 2012-2013 www.shack2.org All Rights Reserved. | 空ICP备111111111号 | 程序设计: shack2 Powered by SJBlog v1.0 联系QQ:1341413415