JAVA-不安全的反射-RCE

实际上这是一个老洞了，始于2021，今天拿出来，是因为遇到了，觉得有一定的学习价值，就拿出来分享了，大佬绕过~

废话不多说，首先存在漏洞的点位是在一个叫JobInvokeUtil的类

接下来先对代码进行一下解读

String invokeTarget = sysJob.getInvokeTarget();
invokeTarget 调用的SysJob类里面的getInvokeTarget()方法

紧接着，String beanName = getBeanName(invokeTarget);
将invokeTarget的值传入getBeanName()方法，该方法用来截取第一个小括号并保留小括号之前的字符串，接着利用StringUtils.substringAfterLast 方法用于获取最后一个指定分隔符之前的子字符串(这里用来获取类的路径)

String methodName = getMethodName(invokeTarget);
与上面相似，该方法用来截取第一个小括号并保留小括号之前的字符串，接着利用StringUtils.substringAfterLast 方法用于获取最后一个指定分隔符之后的子字符串(这里用来获取类的某一个方法)

List<Object[]> methodParams = getMethodParams(invokeTarget);
此处将invokeTarget 拆分成List<Object[]> 对象，就从invokeTarget中解析出方法的参数列表

if (!isValidClassName(beanName))  用来判断传入的beanName是不是合法的，他的判断方法其实就是看他有几个小数点

这里面其实是用来判断，调用的类名是spring bean的还是lib依赖包里的，如果是spring自带的，就会利用SpringUtils.getBean(beanName)获取bean，然后利用invokeMethod()去进行实例化；
如果调用的bean是外来的，就利用Class.forName反射调用外部的类然后进行实例化操作
因为该处漏洞利用需要调用外部的类，所以这里直接走else条件分支语句

这里细说一下Object bean = Class.forName(beanName).newInstance();
Class.forName(beanName)
是Java中用于动态加载类的方法。当你传递一个类的全名（包括包名）给这个方法时，它会尝试加载该类并返回该类的 Class 对象。如果类不存在或者因为其他原因无法加载，这个方法会抛出 ClassNotFoundException。

newInstance() 是 Class 类的一个方法，它用于创建一个该类的实例。但是，它有一些限制：

1.它只能用于具有无参数构造函数的类。
2.它只能用于不是抽象的类。
3.如果类的无参数构造函数是私有的，它也会失败。

于是乎我们可以知道，想要利用这里的反射去执行恶意的类，首先这个类不能是抽象的类并且他需要具有无参构造函数的类，并且无参构造函数需要有public属性

构造函数，大家可以理解为，他的函数名字和类名字是一样的，他没有返回类型、语句；在创建类对象的时候，他会被自动调用等等，而无参构造，其实就是他是空的，函数体里面没有东西，例如下面的这个Comxxxxxls()无参构造函数

invokeMethod(bean, methodName, methodParams); 这个是用来调用反射的关键方法，它使用Java的反射API来动态地调用一个对象（bean）上的方法。这个方法接受三个参数：
1.Object bean：要调用其方法的对象。
2.String methodName：要调用的方法的名称。
3.List<Object[]> methodParams：一个列表，其中每个元素都是一个对象数组，表示要传递给方法的参数。

使用StringUtils.isNotNull(methodParams)检查methodParams是否为非空。
 如果methodParams非空且大小大于0，说明有参数需要传递给方法。由于我们需要利用不安全的反射，所以我们传入的参数一定不能是空的所以直接进入到if判断里面
Method method = bean.getClass().getDeclaredMethod(methodName, getMethodParamsType(methodParams));
这里可以更写为
Class.forName(“类名”).getDeclaredMethod(“方法名”, “方法参数”);

为了更加直观，笔者在这里写了一下二者之间的对比代码

method.invoke(bean, getMethodParamsValue(methodParams));
该代码为实际执行的代码，
invoke 方法用于动态地调用 method 方法。它接受两个参数：第一个参数是调用该方法的对象（即 bean），第二个参数是一个对象数组，包含了调用该方法所需的参数值（即 getMethodParamsValue(methodParams) 的返回值）

最后两行代码加载一块，就是典型的反射调用
Class.forName(“类名”).getDeclaredMethod(“方法名”, “方法参数”).invoke(Class.forName(“类名”).newInstance(), “参数”);

对比完整代码如下

可以看到，二者几乎没有区别，那么思路正确

由于代码是扣的，所以源项目跑不起来，但是不要紧，笔者在本地魔改了一下代码，方便给大家展示节目效果
首先笔者创建了一个SysJob类，该类仅仅是为了传递invokeTarget参数

接着是第二个类，JobInvokeUtil类，该类仅仅是为了传递参数，执行反射

我们动态调试一下，验证我们的思路
大家可以很直观的看到，beanName、methodName以及methodParams，其中methodParams是一个list object类型，里面主要有两个参数，一个是方法传递的参数，一个是方法的类型

进入bean判断，很明显我们是调用的外部的类，所以进入到else分支

跟进 invokeMethod方法

首先利用getClass()方法获取字节码对象，因为bean已经被实例化了，不能直接利用 getDeclaredMethod()方法获取里面的单个方法，所以需要先getClass()获取字节码，然后再getDeclaredMethod()获取某个特定的方法；由于getDeclaredMethod()方法是java内置的方法，所以这里就省略了getMethodParamsType(methodParams)是怎么来的，getDeclaredMethod()传递两个参数，一个是方法名，一个是方法参数

invoke 方法用于动态地调用 method 方法。它接受两个参数：第一个参数是调用该方法的对象，第二个参数是调用该方法所需的参数值

算了，还是简单看一下getMethodParamsType(methodParams)和getMethodParamsValue(methodParams)吧
getMethodParamsType(methodParams)，其实就是获取List<Object[]对象里的下标为1的参数

getMethodParamsValue(methodParams) 其实就是获取List<Object[]对象里的下标为0的参数

再对比下图，想必大家就明白了吧

再给大家打印一下

而原始代码里，其实也过滤了一下东西

不允许调用rmi/ldap/http/https 但是他其实是调的字符串，直接用curl就行了，远程下载的地址不填http就可以，我们看一下效果

忘记写了，这个具备危险方法的外部类，我们应该如何寻找呢？这个就得靠运气了，不安全的反射，想要调用危险方法，前提是外部的类里有危险的方法，他与反序列化的重写方法还是有区别的，所以找的话，大家可以直接打开项目包的lib，找到里面的jar包，一个一个找，笔者运气不错，找到不少

该方法直接引用了危险的方法，并且传入的参数为String类型，那么只要参数可控就可以利用了

总结如下：
想要利用这个洞，需要找到存在危险方法的、可以传参的、存在构造函数且具备public属性的外部的类，只要输入的字符串不带http/https/rmi/ldap就行

原文始发于微信公众号（我不懂安全）：JAVA-不安全的反射-RCE