tomcat session漏洞反序列化详解
1. 条件
1)攻击者可以控制服务器上的文件名/文件内容
2)tomcat context配置了persistencemanager的fileSotre
3) persistenceManager 配置了sessionAttributeValueClassNameFilter的值为NULL或者宽松过滤
4) 攻击者知道fileSotre存放位置
条件非常苛刻, 需要同时满足该4个条件。
2. 漏洞原理
利用tomcat创建的session,反序列后进行恶性攻击。 一般而言,session存在于服务器内存中,当服务器重启或者重新加载时,内存中的session就会全部丢失。为了避免这种情况,在某一些场合下,服务器的session可以存放在文件系统中或者数据库中,该过程称之为session持久化,session持久化是将session以序列化的形式存放的,因此存放session需要实现java的序列号接口(java.io.serialize).
具体创建过程如下:
发起session请求》tomcat servelet容器创建httpsession对象》容器将httpsession对象从内存中移到文件系统中或者数据库中》再次需要访问请求时直接从文件系统或者数据库中加载session至内存。
session保存到文件系统具体配置,context.xml
即,通过persistenceManger持久化,将文件存放在文件系统,位置为…/session
反序列过程:tomcat的FileSore 加文件直接反序列化获取session
用ysoserial生成一个反序列化文件
java -jar ysoserial.jar CommonsCollections2 “calc” > /tmp/22222.session
通过JSESSION加载恶意的session持久化文件
GET /bug/api HTTP/1.1
Host: 127.0.0.1:8080
Cookie: JSESSIONID=evilFIle
3. 影响版本
Apache Tomcat 10.x < 10.0.0-M5
Apache Tomcat 9.x < 9.0.35
Apache Tomcat 8.x < 8.5.55
Apache Tomcat 7.x < 7.0.104
4. 修复方法
1. 升级版本,
2. 开启禁用session
取消注释