• 而接盘的广大中小投资者则亏损累累,中国资本市场被伤害得连连熊市,这才是真正需要监管的却无人过问,这种制度缺陷只能加剧两极分化, 2019-06-19
  • 贝壳找房陪你一起看世界杯 2019-06-19
  • 守土有责守土尽责 扎实做好水污染 防治各项工作 2019-06-16
  • 端午小长假旅游去这些地方逛逛吧 2019-06-16
  • 【理上网来喜迎十九大】习近平指引中国特色大国外交 2019-06-14
  • 女排欧战惨败后全主力备战总决赛 卯足了劲冲冠 2019-06-08
  • “三个90周年”系列秋收起义90周年纪念活动新闻发布会在昌召开 2019-06-05
  • 晋城到运城要建高铁啦! 2019-06-03
  • 【网络中国节】沁水举办我们的节日——端午节诗会 2019-06-01
  • 笑博士没有经历计划经济时代!其对计划经济的批评,是从市场派抄袭来的。实践证明,社会主义与计划经济是兼容的。正是由于中国中途放弃计划经济,盲目迷信市场经济,使得中 2019-06-01
  • “游、购、娱”持续升温 中国经济内生动力表现强劲 2019-05-29
  • 高傲,名牌大学的人真的除了积累课本知识以外,确实啥也不懂!看:这些“高材生们”这些年来害怕艰难风险、不敢艰苦奋斗为人民,而去鼓吹资本主义现成的道路,称为胆小鬼不 2019-05-29
  • 小猪小羊小狗齐上阵 憨态可掬的葡萄园里“小卫士”葡萄园Cakebread 2019-05-27
  • 告诉你家掌勺的,9种吃法让营养流失 2019-05-24
  • 2月各地领导答复网民留言1.3万项 四川回复量第二 2019-05-22
  • 大乐透走势图带连线图:Apache Kafka read Object漏洞的分析报告

    报告 时间:2018-09-23 我要投稿

    双色球开奖号码 www.nsjl.net   I.背景介绍

      Apache Kafka 是开源的Apache流处理平台,由 Apache编写,采用scala与java。该项目旨在于提供一个统一的、高吞吐量的、低延迟的实时数据处理平台。

      II.漏洞概述

      Kafka 内部实现一个带有readObject方法的并且未带有任何校验的危险类,如果用户在使用该框架中,使用了该类的话,通过设置相关参数后实例化该类的时候会导致远程代码执行。

      360CERT对此漏洞进行跟踪分析,考虑到实际生产环境这样的代码逻辑并不常见,根据影响,确认为中低危漏洞。

      III.漏洞详情

      A.简要技术细节

      漏洞成因描述和简要技术细节(可参考官方安全公告technical details)

      org.apache.kafka.connect.storage.FileOffsetBackingStore 这个 class 拥有一个反序列化操作,在执行

      FileOffsetBackingStore 对象的start方法时候会触发并反序列恶意序列化对象,导致代码执行。

      因为Kafka是一个开源的框架,如果用户在使用的过程中实现了类似实例化FileOffsetBackingStore这个对象,并且传入参数受到控制的业务逻辑的话就会受到该漏洞的影响。

      B.影响版本

      Apache Kafka

      0.10.0.0 -> 0.11.0.0(latest)

      均受到影响

      IV.漏洞细节分析

      首先生成一个恶意的对象,这个对象在反序列化后就会执行恶意代码,此处采用ysoserial.payloads.Jdk7u21这个开源框架中的方法,直接产生一个恶意对象

      生成这个恶意对象后,将这个对象序列化,然后存储成一个文件,漏洞是FileOffsetBackingStore这个只接受文件的class出的所以需要传入这个文件。

      可以看到我们将执行的命令是touch 360CERT创建一个名为360CERT的文件。

      接下来给即将实例化的FileOffsetBackingStore对象做一些初始化设置,将要读取的文件路径传入。

      调用configure方法后,会设置this.file这个属性的值,为我们传入的文件,调用start方法后,所以直接进入load方法,可以看到这里将this.file的值读取到is中,这里就是我们构造的恶意序列化的对象,而接下来调用的readObject()方法正好会序列化这个对象,可以看到360CERT这个文件已经被我们创建了。

    相关推荐
  • 而接盘的广大中小投资者则亏损累累,中国资本市场被伤害得连连熊市,这才是真正需要监管的却无人过问,这种制度缺陷只能加剧两极分化, 2019-06-19
  • 贝壳找房陪你一起看世界杯 2019-06-19
  • 守土有责守土尽责 扎实做好水污染 防治各项工作 2019-06-16
  • 端午小长假旅游去这些地方逛逛吧 2019-06-16
  • 【理上网来喜迎十九大】习近平指引中国特色大国外交 2019-06-14
  • 女排欧战惨败后全主力备战总决赛 卯足了劲冲冠 2019-06-08
  • “三个90周年”系列秋收起义90周年纪念活动新闻发布会在昌召开 2019-06-05
  • 晋城到运城要建高铁啦! 2019-06-03
  • 【网络中国节】沁水举办我们的节日——端午节诗会 2019-06-01
  • 笑博士没有经历计划经济时代!其对计划经济的批评,是从市场派抄袭来的。实践证明,社会主义与计划经济是兼容的。正是由于中国中途放弃计划经济,盲目迷信市场经济,使得中 2019-06-01
  • “游、购、娱”持续升温 中国经济内生动力表现强劲 2019-05-29
  • 高傲,名牌大学的人真的除了积累课本知识以外,确实啥也不懂!看:这些“高材生们”这些年来害怕艰难风险、不敢艰苦奋斗为人民,而去鼓吹资本主义现成的道路,称为胆小鬼不 2019-05-29
  • 小猪小羊小狗齐上阵 憨态可掬的葡萄园里“小卫士”葡萄园Cakebread 2019-05-27
  • 告诉你家掌勺的,9种吃法让营养流失 2019-05-24
  • 2月各地领导答复网民留言1.3万项 四川回复量第二 2019-05-22