CommonsCollections1利用链分析

目录

(一）原理

先来看 ysoserial 中的利用链：

0x01 Transformer

0x02 ConstantTransformer

0x03 InvokerTransformer

0x04 ChainedTransformer

（二）代码分析

0x01 构造Transformer链

0x02 寻找利用函数

0x03 反射获取getRuntime

0x04 AnnotationInvocationHandler触发setValue条件

此时完整的POC：

0x05 动态代理触发invoke

1、首先使用LazyMap替换 TransformedMap：

2、AnnotationInvocationHandler 对象进行Proxy

3、进一步包裹

最后构造的POC如下：

（三）总结

参考链接

---

(一）原理

---

先来看 ysoserial 中的利用链：

    Gadget chain:
        ObjectInputStream.readObject()
            AnnotationInvocationHandler.readObject()
                Map(Proxy).entrySet()
                    AnnotationInvocationHandler.invoke()
                        LazyMap.get()
                            ChainedTransformer.transform()
                                ConstantTransformer.transform()
                                InvokerTransformer.transform()
                                    Method.invoke()
                                        Class.getMethod()
                                InvokerTransformer.transform()