Đục lỗ Liferay deserialization

public void doPost(HttpServletRequest request, HttpServletResponse response)
    throws IOException {

    ObjectInputStream ois;

    try {
      ois = new ObjectInputStream(request.getInputStream());
    }
    catch (IOException ioe) {
      if (_log.isWarnEnabled()) {
        _log.warn(ioe, ioe);
      }

      return;
    }

    Object returnObj = null;

    boolean remoteAccess = AccessControlThreadLocal.isRemoteAccess();

    try {
      //...

      ObjectValuePair<HttpPrincipal, MethodHandler> ovp =
        (ObjectValuePair<HttpPrincipal, MethodHandler>)ois.readObject();

      //...
    }
    catch (InvocationTargetException ite) {
      //....
}
  } 

Vậy có khi nào không có quyền root mà nó vẫn chạy được với port 80 ko?? (nhắc tới đây lại nhớ tới bác này https://www.youtube.com/watch?v=NmHeNGFQrLo =))), ko lquan đến bài đâu, mình chỉ seed cho vui hoy).

• Denied khi truy cập trực tiếp thông qua port 8080:
• 
• Attack thành công với request thông qua HAProxy:
• 

acl restrict_liferay path_beg,url_dec -i /api/liferay 

=))) Khi biết được thông tin này mình cũng ko tin lắm, nhưng thực sự thì … it works!!

Dựa vào đó mà đồng nghiệp mình lại exploit thành công với 1 đống site khác có cùng kiểu config như trên =))).

:v Nếu hệ thống của bạn quản trị có sử dụng HAProxy thì mình suggest nên kiểm tra lại xem điều mình làm bên trên có đúng hay ko.

Case 3 này có cùng 1 cách khai thác như case 2, cùng là sử dụng “/api////liferay” để bypass filter check, nhưng chỉ có điều root cause lại ở 1 chỗ khác =))).

=))) Và dĩ nhiên, nhìn qua mắt thường ta cũng có thể biết được uri truyền vào và url pattern kia không hề match!!!

P/s: Join us, we have much more than this 😉