нееустройствокоторыхнеизвестно,–делонепростое,посколькутребуетопре- деленных знаний об исходном коде. Нам нужна правильная цепочка гаджетов для выполнения нашего кода. По этой причине атаки на приложения обычно используют гаджеты из сторонних библиотек, которые использовались разработчикамиприложений.Исходныйкодэтихбиблиотекболеедоступен,чтопозволяет нам отслеживать код и создавать цепочку гаджетов, которая поможет воспользоваться уязвимостью.

Packagist – это репозиторий для PHP-библиотек и фреймворков, обычно используемый разработчиками приложений: https://

packagist.org.

Для упрощения процесса разработки Composer, менеджер зависимостей для PHP, предоставляет приложениям возможность автоматически загружать библиотеки с помощью простого однострочника. Это означает, что приложения могут содержать код библиотеки,следовательно,и гаджеты POP,когда выполняется уязвимый метод unserialize().

Composer можно найти на странице https://getcomposer.org.

Атака на пользовательские протоколы

Так же как и PHP, Java предоставляет возможность обрабатывать объекты для удобной передачи или хранения. В тех случаях когда сериализованные в PHP данные представляют собой простые строки, в Java используется несколько иной подход. Сериализованный Java-объект представляет собой поток байтов с заголовком и содержимым, разбитым на блоки. Возможно, его нелегко прочитать, но он выделяется при записи пакетов или в журналах прокси-сервера в виде значений в кодировке Base64. Поскольку это структурированный заголовок, первые несколько байтов эквивалента Base64 будут одинаковыми для каждого потока.

Поток сериализованных объектов в Java всегда начинается с магических байтов: 0xAC 0xED, за которыми следует номер версии из двух байтов: 0x00 0x05.Остальныебайтывпотокебудутописыватьобъектиегосодержимое.Все, что нам действительно нужно, чтобы обнаружить это на практике, – это первые два шестнадцатеричных байта ac ed, а остальная часть потока, вероятно, будет сериализованным объектом.

с помощью Wireshark или tcpdump, а не Burp или ZAP. Запустив Wireshark, можем собирать и проверять поток данных TCP нашего взаимодействия с сервером DeserLab, как показано на рисунке.

Рис.8.7. Поток данных по протоколу TCP

Можно увидеть весь диалог в формате шестнадцатеричного дампа, проанализировав pcap-файл,сгенерированный нашим анализатором пакетов.На предыдущем рисунке отправленные данные – это поток, обозначенный свет- ло-серым цветом, а более темная часть– это ответ сервера.

Хотя данные могут быть немного сложными для чтения, у каждого байта свое предназначение. Можно увидеть знакомый заголовок ac ed и различные входные данные, отправленные клиентом, такие как name и string. Вы также заметите,что строковое значение–это сериализованный объектHashRequest. Это класс Java, реализуемый как сервером, так и клиентом. Сериализация ис-

сохранит его в одном из своих свойств. Пакеты, которые мы только что перехватили, представляют собой сериализованное представление этого объекта, передаваемого от клиента к серверу и наоборот.

Сериализованный сервером объект также содержит одно дополнительное свойство: сгенерированный хеш.

Когда сервер получает сгенерированный клиентом сериализованный объект,содержащий введенную строкудля хеширования,ондесериализуетбайты, поступающие по сети, и попытается преобразовать их в класс HashRequest.

Поскольку DeserLab имеет открытый исходный код, можем проанализироватьпроцессдесериализации на серверном компоненте,посмотрев его исходный код, размещенный на GitHub.

[...]

oos = new ObjectOutputStream(clientSock.getOutputStream());

//Read a HashRequest object

request = (HashRequest)ois.readObject();

//Генерируем хеш. request.setHash(generateHash(request.getData()));

oos.writeObject(request); [...]

Мы видим, что данные считываются с клиента с помощью объекта ObjectInputStream(ois). Это просто причудливый термин для данных, поступающих от клиента,которые мы наблюдали при захвате пакетов Wireshark. Следующим шагом является попытка преобразовать данные, считанные из ois, к структуре данных HashRequest. Ссылка на новый объект HashRequest сохраняется в переменной request, которую затем можно использовать как обычный объект в памяти. Сервер получит входное значение строки, подлежащей десериализации путем вызова метода getData(), вычисления хеша и сохраненияегообратновобъектспомощьюметодаsetHash(). МетодsetHash доступен с помощью класса HashRequest, и все, что он делает,– это заполняет свойство хеша внутри объекта. Затем данные сериализуются и записываются обратно в сетевой поток с помощью метода writeObject().

Все это прекрасно работает, но данный код основан на опасных предположениях. Предполагается, что данные, поступающие от ненадежного источника (злоумышленника), на самом деле являются объектом HashRequest. Если данные – это нечто иное, чем то, что может быть безопасно преобразовано к HashRequest, Java сгенерирует исключение, и когда мы это обнаружим, будет уже слишком поздно.