怎么進行Apache Spark RPC協議中的反序列化漏洞分析

怎么進行Apache Spark RPC協議中的反序列化漏洞分析，針對這個問題，這篇文章詳細介紹了相對應的分析和解答，希望可以幫助更多想解決這個問題的小伙伴找到更簡單易行的方法。

前言

在前一陣，Spark官方發布了標題為《CVE-2018-17190: Unsecured Apache Spark standalone executes user code》的安全公告。

公告中指明漏洞影響版本為全版本，且沒有標明已修復的版本，只有相關緩解措施。

官方緩解措施如下：在任何未受到不必要訪問保護的Spark單機群集上啟用身份驗證，例如通過網絡層面限制。使用spark.authenticate和相關的安全屬性。

查詢了相關文檔，spark.authenticate是RPC協議中的一個配置屬性，此參數控制Spark    RPC是否使用共享密鑰進行認證。

Spark RPCS

park RPC 是一個自定義的協議。底層是基于netty4開發的，相關的實現封裝在spark-network-common.jar和spark-core.jar中，其中前者使用的JAVA開發的后者使用的是scala語言。

協議內部結構由兩部分構成header和body，header中的內容包括:整個frame的長度（8個字節），message的類型（1個字節），以及requestID（8個字節）還有body的長度（4個字節）

body根據協議定義的數據類型不同略有差異.

RpcRequest消息類型的body大致由兩部分構造，前半部分包含通信雙方的地址和端口以及名字信息，接下來就是java序列化后的內容ac    ed 00 05開頭。

消息類型為RpcResponse的body就直接是java反序列后的內容。

搭建Spark單獨集群服務器

從官網下載，然后通過-h指定IP地址，讓端口監聽在所有的網卡上./start-master.sh -h 0.0.0.0 -p 70774.

證明服務端存在反序列化過程

spark_exploit.py 通過第一個參數和第二個參數指明遠程spark集群的連接信息，第三個參數為JAVA反序列化漏洞payload。

通過調用 build_msg 函數將 payload 構建到消息中再發送給服務端，過程比較簡單。

反向操作客戶端

evil_spark_server.py    腳本通過繼承BaseRequestHandler類完成了一個簡單的TCP服務，對發送過來的數據提取出request_id, 然后再調用build_msg，將request_id和payload構成合法的RPC響應數據包發送給客戶端。

啟動服務

使用spark客戶端進行連接

通過抓包看請求數據以及閱讀相關代碼,逐步確定RPC協議中的請求數據。客戶端和服務端都使用了JAVA序列化來傳輸數據，兩邊都可以進行利用。

當反過頭來想利用反序列化來執行系統命令時，查找ysoserial發現除利用低版本jdk構造利用鏈外，并無其他合適的gadget。

隨著時間的推移，各個庫中的漏洞都將被修復和升級，已有的gadget將不再起作用。java    反序列化漏洞終將成為歷史。

關于怎么進行Apache Spark RPC協議中的反序列化漏洞分析問題的解答就分享到這里了，希望以上內容可以對大家有一定的幫助，如果你還有很多疑惑沒有解開，可以關注億速云行業資訊頻道了解更多相關知識。