转载

多种姿势openrasp命令执行绕过

概述

随着Web应用攻击手段变得复杂，基于请求特征的防护手段，已经不能满足企业安全防护需求。Gartner在2014年提出了应用自我保护技术（RASP）的概念，即将防护引擎嵌入到应用内部，不再依赖外部防护设备。OpenRASP是该技术的开源实现，可以在不依赖请求特征的情况下，准确的识别代码注入、反序列化等应用异常，很好的弥补了传统设备防护滞后的问题。（来自官网： https://rasp.baidu.com/ 的介绍）

安装配置

从 https://packages.baidu.com/app/openrasp/release/ 此处我们下载最新版本1.2.3。选择rasp-java.zip。下载后 https://rasp.baidu.com/doc/install/manual/spring-boot.html 参考此文档配置springboot版本。为实验方便我们只需配置单机版本。 https://dwz.cn/HS4sCdfL 开启拦截参考此处。此处我们将所有的命令执行设置为block。springboot文件从此处下载链接： https://pan.baidu.com/s/1SHB4LLLFl67SCKSxB1rQ0w 提取码：po1e

多种姿势openrasp命令执行绕过

开启服务后，访问 http://127.0.0.1:8877/hello2?a=ping%20baidu.com 和 http://127.0.0.1:8877/hello3 可以看到都会正常拦截。

多种姿势openrasp命令执行绕过

其中代码如下，hello2介绍参数执行命令，hello3内部执行命令均会被拦截。

多种姿势openrasp命令执行绕过

绕过方式1

访问 http://127.0.0.1:8877/hello1?a=ping%20baidu.com 可以看到正常返回。

多种姿势openrasp命令执行绕过

后台执行命令成功。

多种姿势openrasp命令执行绕过

代码如下：

多种姿势openrasp命令执行绕过

此处我们开启一个线程来执行命令。下面看看为什么能够绕过。我们开启debug

多种姿势openrasp命令执行绕过

我们在ProcessBuilderHook.java的checkCommand处打断点。因为此处是check的开始。这里具体在哪个checkCommand打断点取决于你的环境。

然后跟进去下面的checkCommand，然后跟进doCheckWithoutRequest

多种姿势openrasp命令执行绕过

然后再跟进doRealCheckWithoutRequest

多种姿势openrasp命令执行绕过

然后再跟进CheckerManager.check

多种姿势openrasp命令执行绕过

依次跟进checkParam->JS.Check。发现在此处返回为null。

多种姿势openrasp命令执行绕过

而

results = V8.Check(type.getName(), params.getByteArray(), params.size(),new Context(checkParameter.getRequest()), type == Type.REQUEST, (int) Config.getConfig().getPluginTimeout());

此处是jni调用c++,然后解析js文件。所以我们直接看js文件。

多种姿势openrasp命令执行绕过