search
PortfolioBug Hunter ProfileGithub

🕸️Laboratorio: Exploiting Java deserialization with Apache Commons

Lab Portswigger

Tenemos que tener en cuenta que lo que tenemos que hacer es tirar del comando de Java que tengo en la sección principal sobre el ataque de deserialización, debemos usar el comando:

java -jar ysoserial-all.jar \
   --add-opens=java.xml/com.sun.org.apache.xalan.internal.xsltc.trax=ALL-UNNAMED \
   --add-opens=java.xml/com.sun.org.apache.xalan.internal.xsltc.runtime=ALL-UNNAMED \
   --add-opens=java.base/java.net=ALL-UNNAMED \
   --add-opens=java.base/java.util=ALL-UNNAMED \
   [payload] '[command]'

Entonces ahi tiramos el comando pa’ borrar el archivo morale.txt del directorio /home/carlos/morale.txt

La cookie la decodeamos de url y base64 →

Y en base64 en el decodeado muestra algo:

Base64 decoder online

Aqui verificamos que está usando la librería serializadora del token objeto.

hashtag
¿Que proceso a hacer?

  • Voy a buscar la herramienta en github y pasaré a instalarla:

Es esta de acá se ve mela, legitima y re vieja, esa es.

Bueno, simplemente descargo el jar que lo dejan más abajo el cual es este enlace (Github):

https://github.com/frohoff/ysoserial/releases/latest/download/ysoserial-all.jargithub.comchevron-right

El ysoserial nos arroja los payloads existentes que hay, vamos a escoger el serializador que nos serialice nuestro objeto con la carga util maliciosa pa’ borrar el morale.txt

hashtag
El comando que finalmente me funcionó de JAVA fue así:

Obviamente parado en el directorio donde tengo el .jar

hashtag
Lo intenté desde mi distro Debian → Con el último Comando:

Me devolvió este base64:

Que luego lo que hicé fue codearlo a URL, porque cuando analicé la cookie Session de wiener pillé que estaba codeada a URL entonces por eso también la codeé a URL, luego de ello reemplacé el valor y me lanzó el laboratorio en Solved:

Pero el comando que realmente me funcionó a mi fue:

Con Java en la versión 17.

PreviousLaboratorio: Inyección arbitraria de objetos en PHPNextLaboratorio: Exploiting PHP deserialization with a pre-built gadget chain

Last updated