Java反序列化和集合之间的渊源-安全客

0x01 前言

从一开始接触Java序列化漏洞就经常看到以Java集合作为反序列化入口，但是也没有仔细思考过原因。分析的Gadget多了觉得很多东西有必要总结一下，所以有了本篇文章。

分析过ysoserial的同学应该经常会遇到将HashMap、HashSet、PriorityQueue等Java集合作为反序列化入口的情况，总结了下大致如下：

反序列化载体	Gadget
HashMap	Clojure、Hibernate1、Hibernate2、JSON1、Myfaces1、Myfaces2、ROME、URLDNS
HashSet	AspectJWeaver、CommonsCollections6
PriorityQueue	BeanShell1、Click1、CommonsCollections2、CommonsCollections4、Jython1
LinkedHashSet	Jdk7u21
Hashtable	CommonsCollections7

0x02 Gadget总结

1、HashMap

先来看下各个Gadget中涉及HashMap的部分：

Clojure

HashMap.readObject() -> HashMap.hash() -> AbstractTableModel$ff19274a.hashCode() -> ...

Hibernate1和Hibernate2

HashMap.readObject() -> HashMap.hash() -> org.hibernate.engine.spi.TypedValue.hashCode() -> ...

JSON1

HashMap.readObject() -> HashMap.putVal() -> javax.management.openmbean.TabularDataSupport.equals() -> ...

Myfaces1和Myfaces2

HashMap.readObject() -> HashMap.hash() -> org.apache.myfaces.view.facelets.el.ValueExpressionMethodExpression.hashCode() -> ...

ROME

HashMap.readObject() -> HashMap.hash() -> com.sun.syndication.feed.impl.ObjectBean.hashCode() -> com.sun.syndication.feed.impl.EqualsBean.beanHashCode() -> ...

URLDNS

HashMap.readObject() -> HashMap.hash() -> java.net.URL.hashCode() -> ...

无外乎两种：

HashMap.readObject() -> HashMap.hash() -> XXX.hashCode()
HashMap.readObject() -> HashMap.putVal() -> XXX.equals()

那我们看看这几个方法，HashMap.readObject()中恢复HashMap时调用HashMap.putVal()插入键值对，并且调用HashMap.hash()将返回值作为参数。

private void readObject(java.io.ObjectInputStream s) throws IOException, ClassNotFoundException {
    s.defaultReadObject();
    reinitialize();
    ......
    Node<K,V>[] tab = (Node<K,V>[])new Node[cap];
    table = tab;
        for (int i = 0; i < mappings; i++) {
                K key = (K) s.readObject();
                V value = (V) s.readObject();
            // 调用HashMap.putVal()
            putVal(hash(key), key, value, false, false);
        }
    }
}

HashMap.hash()用于计算key的hash值，会先获取key.hashCode的值，再对 hashcode 进行无符号右移操作，再和 hashCode 进行异或 ^ 操作。

static final int hash(Object key) {
    int h;
    return (key == null) ? 0 : (h = key.hashCode()) ^ (h >>> 16);
}

在HashMap.putVal()中多次调用key.equals(k)进行比较，保证HashMap的键唯一的特点。

final V putVal(int hash, K key, V value, boolean onlyIfAbsent, boolean evict) {
    Node<K,V>[] tab; Node<K,V> p; int n, i;
    ......
    else {
        Node<K,V> e; K k;
        if (p.hash == hash && ((k = p.key) == key || (key != null && key.equals(k))))
            e = p;
        else if (p instanceof TreeNode)
            e = ((TreeNode<K,V>)p).putTreeVal(this, tab, hash, key, value);
        else {
            for (int binCount = 0; ; ++binCount) {
                ......
                if (e.hash == hash && ((k = e.key) == key || (key != null && key.equals(k))))
                    break;
                p = e;
            }
        }
        ......
    }
    ++modCount;
    if (++size > threshold)
        resize();
    afterNodeInsertion(evict);
    return null;
}

2、HashSet

ysoserial中以HashSet为入口的是AspectJWeaver 和CommonsCollections6，这两个都是通过HashSet.readObject()调用TiedMapEntry.hashCode()：

HashSet.readObject() -> HashMap.put() -> HashMap.hash() -> org.apache.commons.collections.keyvalue.TiedMapEntry.hashCode() -> ...

HashSet底层是HashMap，readObject()反序列化恢复HashSet实例时需要创建HashMap，将其元素恢复并调用HashMap.put()插入元素，因为HashSet是Object的集合，而HashMap是键值对的集合，put插入时统一以e作为key，PRESENT作为value。HashMap.put是用HashMap.putVal()实现的，所以后续的调用和HashMap的一样。

// HashSet.readObject()
private void readObject(java.io.ObjectInputStream s) throws java.io.IOException, ClassNotFoundException {
    // Read in any hidden serialization magic
    s.defaultReadObject();
    ......
    // Create backing HashMap
    map = (((HashSet<?>)this) instanceof LinkedHashSet ?
           new LinkedHashMap<E,Object>(capacity, loadFactor) :
           new HashMap<E,Object>(capacity, loadFactor));
    // Read in all elements in the proper order.
    for (int i=0; i<size; i++) {
        @SuppressWarnings("unchecked")
            E e = (E) s.readObject();
        map.put(e, PRESENT);
    }
}

//HashMap.put()
public V put(K key, V value) {
    return putVal(hash(key), key, value, false, true);
}

3、LinkedHashSet

ysoserial中仅Jdk7u21用到了LinkedHashSet：

LinkedHashSet.readObject() -> (HashSet)LinkedHashSet.add() -> HashMap.put() -> HashMap.hash() -> TemplatesImpl.hashCode() -> ...

LinkedHashSet继承了HashSet，底层也是HashMap，内部没有直接定义readObject方法，但是可以调用HashSet.readObject()，跟HashSet的调用一样。

4、PriorityQueue

之前的文章里分析过了，详细不再赘述。

PriorityQueue.readObject() -> java.util.PriorityQueue.heapify() -> java.util.PriorityQueue.siftDown() -> PriorityQueue.siftDownUsingComparator() -> XXXComparator.compare()

5、Hashtable

ysoserial中CommonsCollections7用到了Hashtable，Hashtable和HashMap类似，不过Hashtable是支持同步的。

Hashtable.readObject() -> Hashtable.reconstitutionPut()-> org.apache.commons.collections.map.AbstractMapDecorator.equals() -> ...

Hashtable反序列化时创建Entry数组，将key和value通过Hashtable.reconstitutionPut()插入数组。

private void readObject(java.io.ObjectInputStream s)
     throws IOException, ClassNotFoundException
{
    // Read in the threshold and loadFactor
    s.defaultReadObject();
    ......
    table = new Entry<?,?>[length];
    threshold = (int)Math.min(length * loadFactor, MAX_ARRAY_SIZE + 1);
    count = 0;
    // Read the number of elements and then all the key/value objects
    for (; elements > 0; elements--) {
            K key = (K)s.readObject();
            V value = (V)s.readObject();
        // sync is eliminated for performance
        reconstitutionPut(table, key, value);
    }
}

Hashtable.reconstitutionPut()为了计算hash和保证键唯一，也调用了hashCode和equals()，CommonsCollections7中用到的是equals()动态加载。

private void reconstitutionPut(Entry<?,?>[] tab, K key, V value) throws StreamCorruptedException
{
    if (value == null) {
        throw new java.io.StreamCorruptedException();
    }
    // Makes sure the key is not already in the hashtable.
    // This should not happen in deserialized version.
    int hash = key.hashCode();
    int index = (hash & 0x7FFFFFFF) % tab.length;
    for (Entry<?,?> e = tab[index] ; e != null ; e = e.next) {
        if ((e.hash == hash) && e.key.equals(key)) {
            throw new java.io.StreamCorruptedException();
        }
    }
    // Creates the new entry.
    @SuppressWarnings("unchecked")
        Entry<K,V> e = (Entry<K,V>)tab[index];
    tab[index] = new Entry<>(hash, key, value, e);
    count++;
}

0x03 Java集合为什么备受青睐?

Java所有类都继承于Object。既然都继承于Object，那么所有的类都是有共性的，只要是java对象都可以调用或者重写父类Object的方法。
集合可以理解为一个容器，可以储存任意类型的对象。在集合中经常会有比较或者计算Hash的操作，会频繁使用equals()和hashCode()方法，而equals()和hashCode()都是Object中定义的方法，在不同的类中也可能进行了重写。为了实现Gadget的动态加载，自然会用到这些方法进行连接。
这就能解释为什么Java集合会备受Gadget青睐。

此时我们可以拓展下，在PriorityQueue中比较时用的是Comparator或Comparable，Comparator是Java中一个重要的接口，被应用于比较或者排序，Comparator也在很多类中实现了。

除了equals()和hashCode()，上文没有提到的toString也是Object中定义的方法，在Gadget中也常被用到，道理都一样。

public boolean equals(Object obj) {
    return (this == obj);
}

public native int hashCode(); 

public String toString() {
    return getClass().getName() + "@" + Integer.toHexString(hashCode());
}

在挖掘漏洞时可以作为反序列化入口可以总结如下：

HashMap.readObject() -> ... -> XXX.hashCode() -> ...
HashMap.readObject() -> ... -> XXX.equals() -> ...
... -> XXX.toString() -> ...
PriorityQueue.readObject() -> ... -> Comparator.compare() -> ...