雷石|用友NC-ActionHandlerServlet反序列化漏洞分析
共 1098字,需浏览 3分钟
·
2023-08-24 11:34
前言
用友NC被披露过很多漏洞,其中反序列化漏洞尤为多。很多的接口都存在反序列化漏洞,网上披露的漏洞信息却很模糊。当自己把这些漏洞整合成工具时发现很多漏洞复现失败,只得回过头动手分析一探究竟。
01.
分析
通过公开信息得知,用友NC 的ActionHandlerServlet接口存在反序列化漏洞。受影响的版本有NC6.3、NC6.5。
凭借此前对用友NC的历史反序列化漏洞了解,大多接口都是直接反序列化。便用同样方法测试,结果都是失败。
正好本地搭建有环境,那便直接找文件看源码。
已经知道了接口,通过接口 ActionHandlerServlet 找到对应的类。
如下:
这⾥有三个⽅法,post和get接收到请求后调⽤了process()。
查看process(),可以看到34⾏,将接收到的请求先⽤GZIPInputStream进⾏了Gzip解压缩。
然后紧接着就进⾏了反序列化,造成了反序列化漏洞。
看了代码得知:该接⼝请求的的序列化数据需要进⾏gzip压缩。
复现
02.
触发dnslog回显
写⽂件
03.
poc编写问题
在编写poc,对序列化数据进⾏gzip压缩时,出现了问题。
通过gzip库压缩后的数据与burp编码后的结果不同
原始序列化数据
⽤burp进⾏gzip解压看到的序列化数据 \xff变为了\xc3\xbf
说明序列化数据经过gzip压缩时数据被改变了。
utf-8编码问题
经过查阅资料,找到⼀些信息,发现是UTF-8编码的问题:
1.字节FF和FE在UTF-8编码中永远不会出现;
2.UTF-8是⼀种变⻓编码;
修改编码为“ASCII”,问题解决。
往期回顾
01
02
03
雷石安全实验室
商务咨询:
0571-87031601
商务邮箱:
mtn@motanni.com