Java反序列化漏洞学习
序列化是Java提供的一种对象持久化保存的技术。常规对象在程序结束后会被回收,如果想把对象持久保存方便下次使用,需要序列化和反序列化。
序列化有两个前提:
- 类必须实现java.io.serializable接口
- 类所有字段都必须是可序列化的
反序列化漏洞利用原理
1. 利用重写ObjectInputStream的readObject
重写ObjectInputStream的readObject方法时,可执行恶意代码。定义一个类,并实现serializable接口:
public class User implements Serializable { public String name; public int age; public String getUserInfo(){ return "user name: "+this.name +" age: "+this.age; } }
对这个类进行序列化和反序列化(将序列化对象保存在user.txt中):
public class SerializeDemo { public static void main(String[] args) throws IOException, ClassNotFoundException { User user = new User(); user.name = "路人"; user.age = 25; try { FileOutputStream fileOut = new FileOutputStream("user.txt"); ObjectOutputStream out = new ObjectOutputStream(fileOut); out.writeObject(user); out.close(); fileOut.close(); System.out.println("Serialized done"); } catch (IOException e) { e.printStackTrace(); } User user_out = null; FileInputStream fileInput = new FileInputStream("user.txt"); ObjectInputStream in = new ObjectInputStream(fileInput); user_out = (User) in.readObject(); in.close(); fileInput.close(); System.out.println(user_out.getUserInfo()); } }
执行结果:
user类重写readObject方法,并将恶意代码写在重写方法中:
private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException { in.defaultReadObject(); Runtime.getRuntime().exec("touch hello.txt"); }
执行序列化和反序列化之后,恶意代码执行成功:
2. 利用反射
反射可以越过静态检查和类型约束,在运行期间访问和修改对象的属性和状态。通过反射机制执行恶意代码。InvokerTransformer可以通过调用Java的反射机制来调用任意函数
public class ReflectDemo { public static void main(String[] args) { InvokerTransformer it = new InvokerTransformer( "exec", new Class[]{String.class}, new Object[]{"open /Applications/Calculator.app/"}); it.transform(java.lang.Runtime.getRuntime()); } }
恶意代码执行成功:
但是在实际应用中,我们是不能直接把恶意代码写在对方的readObject中,或者把Runtime直接从外部传进去的,所以需要构造反射链payload来实现反序列化漏洞的利用。具体利用方式参考这篇文章:http://www.mi1k7ea.com/2019/02/06/Java%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E/
此外,还有一个叫做ysoserial的开源工具,集合了各种java反序列化payload,下载地址:https://github.com/angelwhu/ysoserial
上一篇的漏洞利用库jmet-0.1.0-all.jar就是使用ysoserial生成的Payload。
关于java反序列化漏洞,咱目前只能理解到这个地步了(java水平有限 ..>_<..)。