搜索

[11923] 2017-10-23_从反射链的构造看Java反序列漏洞

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2017-10-23_从反射链的构造看Java反序列漏洞 从 反 射 链 的 构 造 看 J a v a 反 序 列 漏 洞 朱 杰   F r e e B u f   2 0 1 7 - 1 0 - 2 3 *   本 文 作 者 ： 朱 杰 ， 本 文 属 本 文 作 者 ： 朱 杰 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 概 况 概 况 今 天 我 想 从 构 造 反 射 链 的 从 无 到 有 到 被 利 用 来 谈 谈 今 天 我 想 从 构 造 反 射 链 的 从 无 到 有 到 被 利 用 来 谈 谈 j a v a 的 反 序 列 化 漏 洞 ， 从 反 射 的 最 开 始 到 执 行 的 反 序 列 化 漏 洞 ， 从 反 射 的 最 开 始 到 执 行 p a y l o a d ， 一 个 ， 一 个 从 无 到 有 的 过 程 ， 首 先 我 们 介 绍 一 下 从 无 到 有 的 过 程 ， 首 先 我 们 介 绍 一 下 T r a n s f o r m e r 类 。 类 。 T r a n s f o r m e r * * 类 介 绍 类 介 绍 * * 打 开 o r g . a p a c h e . c o m m o n s . c o l l e c t i o n s . T r a n s f o r m e r 类 ， 可 以 看 到 源 码 中 对 该 类 的 解 释 是 从 一 个 对 象 变 为 另 一 个 对 象 ， 如 下 图 所 示 ： 从 上 图 我 们 可 以 看 到 ， 里 面 有 一 个 t r a n s f o r m 方 法 ， 通 过 描 述 我 们 理 解 为 执 行 转 变 的 方 法 ， 下 面 用 一 个 简 单 的 例 子 ， 解 释 一 下 这 个 类 的 作 用 ， 如 下 图 所 示 ：
当 输 入 R u n t i m e . c l a s s 时 ， t r a n s f o r m 方 法 中 输 出 了 类 的 类 型 ， 如 上 图 中 红 线 处 所 示 ， 当 我 需 要 转 变 对 象 时 ， 相 应 的 操 作 应 该 在 t r a n s f o r m 方 法 当 中 。 我 们 查 找 有 哪 些 类 使 用 了 T r a n s f o r m e r 接 口 ， 有 如 下 几 个 类 分 别 是 C o n s t a n t T r a n s f o r m e r ， i n v o k e r T r a n s f o r m e r ， C h a i n e d T r a n s f o r m e r ， T r a n s f o r m e d M a p 。 下 面 我 们 利 用 以 上 的 三 个 类 一 边 构 造 出 反 序 列 漏 洞 的 p a y l o a d 一 边 看 他 们 的 运 作 原 理 。 C o n s t a n t T r a n s f o r m e r 通 过 查 看 源 码 ， 我 们 看 到 该 类 使 用 了 T r a n s f o r m e r 的 接 口 ， 重 写 了 t r a n s f o r m e r 的 方 法 ， 如 下 图 所 示 ： 上 面 两 幅 图 ， 可 以 看 出 t r a n s f o r m 返 回 的 是 i C o n s t a n t 的 变 量 ， i C o n s t a n t 的 变 量 必 定 在 C o n s t a n t T r a n s f o r m e r ( O b j e c t ) 方 法 中 被 赋 值 。 下 面 举 个 例 子 详 细 看 使 用 ， 根 据 上 图 中 的 代 码 ， 如 下 图 所 示 ： 此 时 根 据 源 码 ， 我 需 要 查 看 返 回 的 i C o n s t a n t 对 象 类 型 ， 在 源 码 中 设 置 断 点 ， 开 启 d e b u g 运 行 ， 运 行 结 果 如 下 图 ：
上 图 中 可 以 看 到 ， 内 部 构 造 出 R u n t i m e 的 对 象 类 型 。 I n v o k e r T r a n s f o r m e r 打 开 i n v o k e r T r a n s f o r m e r 查 看 源 码 的 解 释 ， 可 知 是 通 过 反 射 创 建 一 个 新 的 对 象 实 例 ， 如 下 图 所 示 ： 看 到 也 使 用 了 T r a n s f o r m e r 的 接 口 ， 查 看 其 t r a n s f o r m 方 和 和 构 造 方 法 如 下 图 所 示 ： 上 图 中 所 示 ， 构 造 函 数 会 将 i M e t h o d N a m e 和 i P a r a m T y p e 的 值 传 递 进 来 ， 在 t r a n s f o r m 方 法 中 通 过 反 射 的 方 法 ， 得 到 了 这 个 方 法 的 对 象 ， 最 后 返 回 的 是 M e t h o d 对 象 。 使 用 举 例 ， 根 据 上 述 源 码 构 造 一 个 对 象 ， 并 且 调 用 t r a n s f o r m 对 象 ， 如 下 图 所 示 ：
在 源 码 中 设 置 断 点 ， 开 启 d e b u g 模 式 ， 进 行 分 析 ， 如 下 图 所 示 ： 参 数 传 递 进 来 ， 继 续 跟 踪 到 t r a n s f o r m 函 数 当 中 ， 如 下 图 所 示 ： 继 续 跟 踪 查 看 m e t h o d 变 量 的 值 如 下 图 所 示 ： 这 里 解 释 一 下 下 图 中 三 行 代 码 的 意 思 ： c l s 变 量 获 取 到 的 是 传 递 进 来 的 i n p u t 的 对 象 值 ， 此 处 i n p u t 传 递 的 是 R u n t i m e 的 对 象 ， 下 面 两 行 代 码 要 反 射 R u n t i m e 的 g e t R u n t i m e 方 法 ， i M e t h o d N a m e 表 示 要 得 到 的 方 法 名 称 ， i P a r a m T y p e s 表 示 方 法 中 所 使 用 的 参 数 类 型 的 数 组 。 此 处 的 i M e t h o d N a m e 需 要 M e h t o d 对 象 ， 因 此 此 处 是 g e t M e t h o d ， 因 此 i P a r a m T y p e s 对 应 的 是 g e t M e t h o d 对 象 的 参 数 类 型 集 合 ， g e t M e t h o d 方 法 文 档 如 下 图 所 示 ：
通 过 查 阅 官 方 文 档 ， 我 们 知 道 了 参 数 应 该 是 S t r i n g . c l a s s 和 C l a s s [ ] . c l a s s 继 续 往 下 执 行 i n v o k e 方 法 ， 因 为 是 反 射 g e t R u n t i m e ( ) 方 法 ， 参 数 为 空 ， 所 以 i A r g s 的 值 可 以 为 空 ， 回 到 主 程 序 代 码 可 以 发 现 为 n u l l ， 如 下 图 所 示 ： 执 行 完 毕 之 后 ， 输 出 如 下 图 所 示 ： 成 功 的 反 射 出 了 R u n t i m e . g e t R u n t i m e ( ) 的 方 法 ， 然 而 如 果 要 执 行 任 意 代 码 的 化 ， 还 需 要 有 e x e c 代 码 段 ， 全 部 应 该 是 R u n t i m e . g e t R u n t i m e ( ) . e x e c ( “ c a l c . e x e ” ) 。 构 造 构 造 p a y l o a d 此 时 我 们 已 经 获 得 了 G e t R u n t i m e ( ) 的 M e t h o d 对 象 ， 如 果 要 执 行 e x e c ( “ c a l c . e x e ” ) ， 我 们 还 需 要 进 行 一 次 i n v o k e 反 射 的 过 程 ， 因 此 我 们 根 据 上 面 构 造 出 下 面 的 代 码 段 ， 如 下 图 ： 上 图 中 ， 构 造 出 t r a n 2 的 方 法 ， 配 置 i n v o k e 的 参 数 都 为 n u l l ， 利 用 t r a n 2 . t r a n s f o r m ( r u n ) ， 反 射 i n v o k e 方 法 ， 过 程 与 上 文 中 一 样 ， 此 处 直 接 看 输 出 了 ：
此 处 已 经 是 R u n t i m e 类 了 ， 继 续 构 造 e x e c ( “ c a l c . e x e ” ) 代 码 段 ， 如 下 图 所 示 ： 重 复 上 面 的 步 骤 ， 运 行 代 码 如 下 图 所 示 ： 成 功 弹 窗 ， 以 上 是 构 造 反 射 链 的 过 程 ， 那 么 如 何 去 让 反 射 链 执 行 呢 ， 我 们 来 看 一 下 C h a i n e d T r a n s f o r m e r 这 个 类 ， 我 觉 得 从 名 称 上 已 经 很 能 说 明 问 题 了 ， 反 射 链 ， 我 们 细 细 看 一 下 这 个 类 。 C h a i n e d T r a n s f o r m e r 看 一 下 这 个 类 的 源 码 解 释 , 如 下 图 所 示 ：
没 有 很 特 别 的 地 方 ， 是 C o m m o n s   C o l l e c t i o n s 中 的 类 ， 继 续 往 下 看 ： 这 里 很 有 意 思 啊 ， 和 上 文 中 的 I n v o k e r T r a n s f o r m e r 如 出 一 辙 ， 利 用 f o r 循 环 ， 对 传 入 的 t r a n s f o r m e r s [ i ] 运 行 t r a n s f o r m 方 法 ， 这 里 无 非 就 是 把 我 们 上 文 的 步 骤 利 用 一 个 f o r 循 环 整 合 在 了 一 起 ， 现 在 我 构 造 一 个 以 数 组 为 主 的 反 射 链 进 行 弹 窗 ， 代 码 段 如 下 图 所 示 ： 构 造 出 了 c h a i n 方 法 之 后 ， 还 需 要 调 用 t r a n s f o r m 方 法 ， 至 于 传 入 的 对 象 会 被 很 快 覆 盖 掉 ， 所 以 i n p u t 的 类 型 可 以 任 意 。 执 行 如 下 图 所 示 ：
执 行 成 功 。 如 何 才 能 不 通 过 调 用 如 何 才 能 不 通 过 调 用 t r a n s f o r m 方 法 执 行 反 射 链 呢 ？ 方 法 执 行 反 射 链 呢 ？ 下 面 就 要 去 寻 找 类 了 ， 寻 找 到 调 用 了 C h a i n e d T r a n s f o r m e r 类 中 的 t r a n s f o r m 方 法 的 类 ， 这 个 类 叫 T r a n s f o r m e d M a p ， 从 名 称 来 看 就 非 常 的 相 似 ， 找 到 他 的 s e t V a l u e 方 法 ， 如 下 图 所 示 ： 看 到 了 吗 ， 只 要 我 们 控 制 v a l u e T r a n s f o r m e r 的 值 为 C h a i n T r a n s f o r m e r 对 象 就 可 以 执 行 反 射 链 了 ， 找 到 他 的 赋 值 地 点 ， 如 下 图 所 示 ： 从 以 上 两 幅 图 可 以 看 出 ， v a l u e T r a n s f o r m e r 变 量 是 可 控 的 ， 只 要 在 d e c o r a t e 方 法 中 赋 值 即 可 ， 我 们 给 出 下 面 的 代 码 段 ： 利 用 d e c o r a t e 为 v a l u e T r a n s f o r m e r 赋 值 ， 然 后 在 最 后 一 行 触 发 了 s e t V a l u e 方 法 ， 其 他 的 都 是 为 了 满 足 这 两 个 条 件 形 成 ， 执 行 截 图 如 下 ：
总 结 总 结 从 以 上 分 析 我 们 可 以 得 出 ， j a v a 反 序 列 化 漏 洞 ， 只 要 反 射 链 构 造 合 适 ， 我 们 可 以 执 行 任 意 的 j a v a 代 码 。 *   本 文 作 者 ： 朱 杰 ， 本 文 属 本 文 作 者 ： 朱 杰 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理