CommonsCollections6利用链分析

@Camelus

已于 2022-11-28 16:38:49 修改

阅读量430

点赞数

分类专栏： Java安全代码审计分析文章标签： java 安全威胁分析安全网络安全 web安全

于 2022-11-28 16:34:26 首次发布

本文链接：https://blog.csdn.net/m0_61506558/article/details/128048623

版权

Java安全代码审计分析专栏收录该内容

39 篇文章 6 订阅 ¥29.90 ¥99.00

订阅专栏

超级会员免费看

本文深入分析了CommonsCollections6的利用链，对比了与CC1链的不同，主要关注TiedMapEntry和HashMap的角色。通过代码分析，揭示了在特定条件下如何触发任意代码执行。文章提供了POC，并探讨了反序列化过程中未触发链的原因。

摘要由CSDN通过智能技术生成

(一）利用链

先来看 ysoserial 中的利用链：

/*
    Gadget chain:
        java.io.ObjectInputStream.readObject()
            java.util.HashSet.readObject()
                java.util.HashMap.put()
                java.util.HashMap.hash()
                    org.apache.commons.collections.keyvalue.TiedMapEntry.hashCode()
                    org.apache.commons.collections.keyvalue.TiedMapEntry.getValue()
                        org.apache.commons.collections.map.LazyMap.get()
                            org.apache.commons.collections.functors.ChainedTransformer.transform()
                            org.apache.commons.collections.functors.InvokerTransformer.transform()
                            java.lang.reflect.Method.invoke()
                                java.lang.Runtime.exec()
 
    by @matthias_kaiser
*/

了解本专栏

超级会员免费看

@Camelus

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
打赏
0
评论
CommonsCollections6利用链分析

(一）利用链(一）利用链可以看到，CC6链从LazyMap类开始的后半部分和CC1链是相同的，只是前面没有使用类readObject()的作为反序列化的入口了，从而解决了在java 8u71 版本之后无法使用CC1链的问题。CC6链的前半部分和URLDNS链比较像，都是利用了HashMap类在计算hash值时调用的方式，进入到方法，再到的。（二）代码分析。
复制链接

扫一扫