Java代码审计系列第一课反射机制

最新推荐文章于 2024-03-10 11:12:42 发布

风炫安全

最新推荐文章于 2024-03-10 11:12:42 发布

阅读量225

点赞数

分类专栏： Web安全代码审计文章标签：代码审计 java

本文链接：https://blog.csdn.net/hyj123480/article/details/116707215

版权

Web安全同时被 2 个专栏收录

55 篇文章 0 订阅

订阅专栏

代码审计

3 篇文章 0 订阅

订阅专栏

Java代码审计系列第一课反射机制

简述

这次结尾有彩蛋哦，请记得查看！

自08年Web2.0时代开始之后，国内Web开发的主要语言从PHP逐渐转移到了Java，截止到今天，以Java为主要开发语言的公司越来越多，是现在大中型公司开发的主流编程语言。但是最近几年，Java的安全事件也是频频发生，Struts2，Weblogic，JBoss，Jenkins等等框架的反序列化漏洞层出不穷，国内对于Java安全也是越来越重视，而目前国内研究Java安全系统化的教程还比较少见，那么今天我就来分享一些自己的拙见，如果写的不好，或者有错误，也可以在后台给我留言，我也会及时改正。

反射

说道Java安全，就不得不说反序列化漏洞，而说道反序列化漏洞，就不得不说Java中的反射机制。

反射的概论

JAVA反射机制是在运行状态中，对于任意一个类，都能够知道这个类的所有属性和方法；对于任意一个对象，都能够调用它的任意一个方法和属性；这种动态获取的信息以及动态调用对象的方法的功能称为java语言的反射机制。

要想解剖一个类,必须先要获取到该类的字节码文件对象。而解剖使用的就是Class类中的方法.所以先要获取到每一个字节码文件对应的Class类型的对象.

我总结一句话：反射就是把java类中的各种成分映射成一个个的Java对象

举个简单的例子：

//Person类
A a = (A)Class.forName("pacage.A").newInstance();
这和你 A a = new A()； 是一样的效果。

细说反射

package com.evalshll.User;

public class Person {
    private String name;
    private int age;

    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }

    public int getAge() {
        return age;
    }

    public void setAge(int age) {
        this.age = age;
    }
  
    public void show(String Name, int age){
        System.out.println("我叫"+Name+",今年"+age+"岁");
    }
}

1.获得Person对象的Class类实例

有三种方式获得Class类实例：

1.调用Class类的静态方法forName获取某个类的Class类实例：
Class clz = Class.forName("com.evalshll.User.Person");

2.访问某个类的class属性，这个属性就存储着这个类对应的Class类的实例：
Class clz = com.evalshll.User.Person.class;

3.调用某个对象的getClass()方法：
Class clz = (new Person()).getClass();

2.获取setName方法

单独获取某一个方法是通过Class类的以下方法获得的：

public Method getDeclaredMethod(String name, Class<?>... parameterTypes) // 得到该类所有的方法，不包括父类的
public Method getMethod(String name, Class<?>... parameterTypes) // 得到该类所有的public方法，包括父类的

我们之前已经提到了Method这个类，java中所有的方法都是Method类型，所以我们通过反射机制获取到某个对象的方法也是Method类型的。通过Class对象获取某个方法：

clz.getMethod(方法名，这个方法的参数类型)

例：
Method method = clz.getMethod("setName", String.class);

3.调用setName方法

Method类中有一个invoke方法，就是用来调用特定方法的，用法如下：

第一个参数是调用该方法的对象，第二个参数是一个可变长参数，是这个方法的需要传入的参数，描述的不够直观，直接看代码：

package com.evalshell.Reflect;

import com.evalshell.User.Person;

import java.lang.reflect.Method;

public class Test {
    public static void main(String[] args) {
        try{
            Class c = Class.forName("com.yishishuo.User.Person");
            Object o = c.newInstance();
            Method method = c.getMethod("show", String.class, int.class);
            method.invoke(o, "fengxuan", 20);
        }catch (Exception exception){
            exception.printStackTrace();
        }


    }
}

接着上文代码：
method.invoke((new Person()), "fengxuan");

或者

User user = new User();
method.invoke(user, "fengxuan");

动态特性

“动态特性”这个词语是直接引用phith0n 在Kcon上的演讲说到的一个术语，我用自己的话来解释一下，熟悉PHP代码审计的同学，可能知道PHP是一门弱类型的编程语言，比如说以下代码：

<?php
$bar= "a";
$Foo="Bar";
$World="Foo";
$Hello="world";
$a="Hello";

echo $a; //hello
echo $$a; //world
echo $$$a; //foo
echo $$$$$a; //Bar
echo $$$$$$a; //a
echo $$$$$$$a; //hello
echo $$$$$$$$a; //world

PHP动态变量是指一个变量名的变量名可以动态的设置和使用，一个变量获取另一个变量的值作为这个变量的变量名。

虽然Java没有PHP这些动态变量的特性，但是其反射机制也给我们带来一些类似上面的动态特性。比如下面这段代码

    protected void Run(HttpServletRequest req, HttpServletResponse resp) throws ServletException, IOException {
        try{
            Class class1 = Class.forName(req.getParameter("className"));
            class1.getMethod(req.getParameter("methodName")).invoke(class1.newInstance());
        }catch (Exception exception){
            exception.printStackTrace();
        }
    }

在这个例子中，有几个比较重要的方法需要说一下：

Class.forName() 动态的加载类
newInstance() 实例化一个对象
getMethod() 获取类中的方法
invoke() 获取类的方法后，执行这个方法

这几个方法基本贯穿Java POP链中各种于反射有关的payload，java反射机制给漏洞利用提供了很多便利，我们可以在很多java漏洞的exp中看到它的影子，所以，学习java安全是绕不开它的。

反射的好处在于，如果说，在漏洞挖掘的过程中，发现上下文中没有String类型的变量，可以这么做

Person person = new Person();
person.getClass().forName("java.lang.Runtime")
  .getMethod("exec", String.class)
  .invoke(person.getClass()
  .forName("java.lang.Runtime")
  .newInstance(), "whoami");