前言
对于回显的获取主要是在ApplicationFilterChain
类的lastServicedRequest / lastServicedResponse
两个属性,是使用的ThreadLocal
进行修饰的,并且,在执行请求的过程中,通过反射修改属性值,能够记录下当前线程的request对象的值。
之后在反序列化利用过程中方便利用ThreadLocal
取出对应的request进行内存马的注入关键步骤。
这里转而通过寻找全局存储的request / response
进行内存马的注入操作。
正文
如何获取的回显
师傅通过这种方式关注到了org.apache.coyote.AbstractProcessor
类中,存在有两个属性值名为request / response
分别是使用final
修饰的org.apache.coyote.Request / org.apache.coyote.Response
类型的变量。
我们的目标是注入一个内存马,这里以上篇一样的Servlet内存马举例说明。
对于Servlet内存马,我们需要获取到对应ServletContext
,但是在org.apache.coyote.Request
类中,并没有直接可以获取的方法存在,我们可以关注到该类的setNote
方法的实现。
这个方法是用来存放私有数据的,在其中举了一个例子,其中描述了对于该类的notes
数组中的下标为1的位置是用来存放的HttpServletRequest
对象的,值得注意的是其中的0-8序号存放的是servlet Container
中的数据,9-16序号存放的是connector
这个组件的数据。
因为只要获取到了HttpServletRequest
对象,也就能够调用getServletContext
方法获取我们需要的上下文。
我们可以通过getNote(1)
来获取,
好了,言归正传,转到获取request对象,
在一个Controller调用过程中,其中的Http11Processor
类是继承了AbstractProcessor
这个类的。
所以我们只需要获取到Http11Processor
类对象,我们就能够成功获取到我们需要的request对象
目标放在调用Http11Processor
之前是否对该对象进行持久化存储,或者直接点对其中的request对象进行了持久化存储
我们进而关注到了AbstractProtocol$ConnectionHandler
类中,在调用process
方法的过程中调用了register
方法对processor对象进行了存储。
传入的是processor
,他到底是什么,我们可以追溯到该方法的开头,存在有来源。
我们可以知道,这个processor
对象是获取的是当前的Http11Processor对象,
对于register
方法,我们可以跟进一下。
首先从processor中获取了RequestInfo
对象的信息之后调用了setGlobalProcessor
方法。
调用了addRequestProcessor
方法进行添加。
也即是,将其添加进入了processors
这个List对象中,
所以现在我们的目的是获取到AbstractProtocol$ConnectionHandler
类的global
属性值,也即是获取到AbstractProtocol
这个类对象。
在调用这一步之后看起,发现了在CoyoteAdapter#service
方法中,存在有Connector
对象的操作。
对于Connector
对象<