快捷導(dǎo)航

Java 全面系統(tǒng)介紹反射的運(yùn)用

更新時(shí)間：2022年03月08日 15:49:52 作者：huamanggg

準(zhǔn)備入手學(xué)習(xí)java的安全了，感覺這也是一個(gè)大的趨勢，想著盡早進(jìn)入到j(luò)ava安全的探索中，在反序列化鏈的學(xué)習(xí)之前，需要先學(xué)習(xí)反射，不多說了，開干吧

反射

反射定義

對象可以通過反射獲取他的類，類可以通過反射拿到所有?法（包括私有）通過java語言中的反射機(jī)制可以操作字節(jié)碼文件，可以讀和修改字節(jié)碼文件

反射的基本運(yùn)用

1. 獲取類對象

a. forName()方法

只需要知道類名，在加載JDBC的時(shí)候會采用實(shí)例代碼

public class test1 {
    public static void main(String[] args) throws ClassNotFoundException {
        Class name = Class.forName("java.lang.Runtime");
        System.out.println(name);
    }
}

b. 直接獲取

使用.class去獲取對于的對象

public class test1 {
    public static void main(String[] args) throws ClassNotFoundException {
        Class<?> name = Runtime.class;
        System.out.println(name);
    }
}

c. getClass()方法

getClass來獲取字節(jié)碼對象，必須要明確具體的類，然后創(chuàng)建對象

public class test1 {
    public static void main(String[] args) throws ClassNotFoundException {
        Runtime rt = Runtime.getRuntime();
        Class<?> name = rt.getClass();
        System.out.println(name);
    }
}

d. getSystemClassLoader().loadClass()方法

這個(gè)方法和forName類似，只要有類名就可以了，但是區(qū)別在于，forName的靜態(tài)JVM會裝載類，并執(zhí)行static()中的代碼

public class getSystemClassLoader {
    public static void main(String[] args) throws ClassNotFoundException {
        Class<?> name = ClassLoader.getSystemClassLoader().loadClass("java.lang.Runtime");
        System.out.println(name);
    }
}

2. 獲取類方法

a. getDeclaredMethods

返回類或接口聲明的所有方法，包括public、protected、private和默認(rèn)方法，但是不包括繼承的方法

import java.lang.reflect.Method;

public class getDeclaredMethods {
    public static void main(String[] args) throws ClassNotFoundException {
        Class<?> name = Class.forName("java.lang.Runtime");
        System.out.println(name);
        Method[] m = name.getDeclaredMethods();
        for(Method x:m)
            System.out.println(x);
    }
}

b. getDeclaredMethod

獲取特定的方法，第一個(gè)參數(shù)是方法名，第二個(gè)參數(shù)是該方法的參數(shù)對應(yīng)的class對象，例如這里Runtime的exec方法參數(shù)為一個(gè)String，所以這里的第二個(gè)參數(shù)是String.class

import java.lang.reflect.Method;

public class getDeclaredMethod {
    public static void main(String[] args) throws ClassNotFoundException, NoSuchMethodException {
        Class<?> name = Class.forName("java.lang.Runtime");
        Method m = name.getDeclaredMethod("exec",String.class);
        System.out.println(m);
    }
}

c. getMethods

返回某個(gè)類所有的public方法，包括繼承類的public方法

d. getMethod

參數(shù)同理getDeclaredMethod

3. 獲取成員變量

同理Method的那幾個(gè)方法

a. getDeclaredFields

獲取類的成員的所有變量數(shù)組，但是不包括父類的

b. getDeclaredField(String name)

獲取特定的，參數(shù)是想要的方法的名稱

c. getFields()

同理，只能獲得public的，但是包括了父類的

d. getField(String name)

同理，參數(shù)是想要的方法的名稱

4. 獲取構(gòu)造函數(shù)Constructor

Constructor<?>[] getConstructors() ：只返回public構(gòu)造函數(shù)

Constructor<?>[] getDeclaredConstructors() ：返回所有構(gòu)造函數(shù)

Constructor<> getConstructor(類<?>... parameterTypes) : 匹配和參數(shù)配型相符的public構(gòu)造函數(shù)

Constructor<> getDeclaredConstructor(類<?>... parameterTypes) ：匹配和參數(shù)配型相符的構(gòu)造函數(shù)

后面兩個(gè)方法的參數(shù)是對于方法的參數(shù)的類型的class對象，和Method的那個(gè)類似，例如String.class

5. 反射創(chuàng)建類對象

newInstance

可以通過反射來生成實(shí)例化對象，一般我們使用Class對象的newInstance()方法來進(jìn)行創(chuàng)建類對象

創(chuàng)建的方法就是：只需要通過forname方法獲取到的class對象中進(jìn)行newInstance方法創(chuàng)建即可

Class c = Class.forName("com.reflect.MethodTest"); // 創(chuàng)建Class對象
Object m1 =  c.newInstance(); // 創(chuàng)建類對象

invoke

invoke方法位于java.lang.reflect.Method類中，用于執(zhí)行某個(gè)的對象的目標(biāo)方法,一般會和getMethod方法配合進(jìn)行調(diào)用。

使用用法：

public Object invoke(Object obj, Object... args)

第一個(gè)參數(shù)為類的實(shí)例，第二個(gè)參數(shù)為相應(yīng)函數(shù)中的參數(shù)

obj：從中調(diào)用底層方法的對象，必須是實(shí)例化對象

args：用于方法的調(diào)用，是一個(gè)object的數(shù)組，參數(shù)有可能是多個(gè)

但需要注意的是，invoke方法第一個(gè)參數(shù)并不是固定的：

如果調(diào)用這個(gè)方法是普通方法，第一個(gè)參數(shù)就是類對象；
如果調(diào)用這個(gè)方法是靜態(tài)方法，第一個(gè)參數(shù)就是類；

通過一個(gè)例子去理解

import java.lang.reflect.InvocationTargetException;
import java.lang.reflect.Method;

public class Invoke {
    public static void main(String[] args) throws ClassNotFoundException, InstantiationException, IllegalAccessException, NoSuchMethodException, InvocationTargetException {
        Class c = Class.forName("Invoke");
        Object o = c.newInstance();
        Method m = c.getMethod("test");
        m.invoke(o);
    }
    public void test(){
        System.out.println("測試成功");
    }
}

簡單來說就是這樣

方法.invoke(類或類對象)

先forName拿到Class，再newInstance獲取類對象，再getMethod獲取方法，然后調(diào)用

Runtime的rce例子（訪問限制突破）

Runtime類里面有一個(gè)exec方法，可以執(zhí)行命令

import java.lang.reflect.InvocationTargetException;
import java.lang.reflect.Method;

public class Exec {
    public static void main(String[] args) throws ClassNotFoundException, InstantiationException, IllegalAccessException, NoSuchMethodException, InvocationTargetException {
        Class c = Class.forName("java.lang.Runtime");
        Object o = c.newInstance();
        Method m = c.getMethod("exec",String.class);
        m.invoke(o,"/System/Applications/Calculator.app/Contents/MacOS/Calculator");
    }
}

但是發(fā)現(xiàn)報(bào)錯(cuò)了

在這里插入代碼片

出現(xiàn)這個(gè)問題的原因：

使用的類沒有無參構(gòu)造函數(shù)
使用的類構(gòu)造函數(shù)是私有的

那么解決方案就是setAccessible(true);，用這個(gè)去突破訪問限制

Java.lang.reflect.AccessibleObject類是Field，Method和Constructor類對象的基類，可以提供將反射對象標(biāo)記為使用它抑制摸人Java訪問控制檢查的功能，同時(shí)上述的反射類中的Field，Method和Constructor繼承自AccessibleObject。所以我們在這些類方法基礎(chǔ)上調(diào)用setAccessible()方法，既可對這些私有字段進(jìn)行操作

簡單來說，私有的屬性、方法、構(gòu)造方法，可以通過這個(gè)去突破限制，xxx.setAccessible(true) 可以看到Runtime的構(gòu)造方法是private的

那么這里我們就可以這么去突破限制先獲取構(gòu)造方法，然后setAccessible獲取訪問權(quán)限然后再最后invoke里面，第一個(gè)參數(shù)寫成con.newInstance()

import java.lang.reflect.Constructor;
import java.lang.reflect.InvocationTargetException;
import java.lang.reflect.Method;

public class Exec {
    public static void main(String[] args) throws ClassNotFoundException, NoSuchMethodException, InvocationTargetException, IllegalAccessException, InstantiationException {
        Class c = Class.forName("java.lang.Runtime");
        Constructor con = c.getDeclaredConstructor();
        con.setAccessible(true);
        Method m = c.getMethod("exec",String.class);
        m.invoke(con.newInstance(),"/System/Applications/Calculator.app/Contents/MacOS/Calculator");
    }
}

這里有一個(gè)疑問，如果把con.newInstance單獨(dú)提取出來，他打開計(jì)算器不會顯示出來，但是后臺的確是啟動了，不知道啥原因

import java.lang.reflect.Constructor;
import java.lang.reflect.InvocationTargetException;
import java.lang.reflect.Method;

public class Exec {
    public static void main(String[] args) throws ClassNotFoundException, NoSuchMethodException, InvocationTargetException, IllegalAccessException, InstantiationException {
        Class c = Class.forName("java.lang.Runtime");
        Constructor con = c.getDeclaredConstructor();
        con.setAccessible(true);
        Object o = con.newInstance();
        Method m = c.getMethod("exec",String.class);
        m.invoke(o,"/System/Applications/Calculator.app/Contents/MacOS/Calculator");
    }
}