本文首发于“合天智汇”公众号 作者:Fortheone
最近学习java反序列化学到了weblogic部分,weblogic之前的两个反序列化漏洞不涉及T3协议之类的,只是涉及到了XMLDecoder反序列化导致漏洞,但是网上大部分的文章都只讲到了触发XMLDecoder部分就结束了,并没有讲为什么XMLDecoder会触发反序列化导致命令执行。于是带着好奇的我就跟着调了一下XMLDecoder的反序列化过程。
首先了解一下java中的XMLDecoder是什么。XMLDecoder就是jdk中一个用于处理xml数据的类,先看两个例子。
这里引用一下浅蓝表哥的(强推浅蓝表哥的博客https://b1ue.cn/
import java.beans.XMLEncoder; import java.io.IOException; import java.util.ArrayList; import java.util.HashMap; public class Test { public static void main(String[] args) throws IOException, InterruptedException { HashMap<Object, Object> map=new HashMap<>(); map.put("123","aaaa"); map.put("321",new ArrayList<>()); XMLEncoder xmlEncoder=new XMLEncoder(System.out); xmlEncoder.writeObject(map); xmlEncoder.close(); } }
这样就把map对象变成了xml数据,再使用XMLDecoder解析一下。
public class Test { public static void main(String[] args) throws IOException, InterruptedException { String s="<java version="1.8.0_131" class="18c2-824b-8236-24cc java.beans.XMLDecoder"> " + " <object class="824b-8236-24cc-8c1d java.util.HashMap"> " + " <void method="put"> " + " <string>123</string> " + " <string>aaaa</string> " + " </void> " + " <void method="put"> " + " <string>321</string> " + " <object class="8236-24cc-8c1d-d942 java.util.ArrayList"/> " + " </void> " + " </object> " + "</java>"; StringBufferInputStream stringBufferInputStream=new StringBufferInputStream(s); XMLDecoder xmlDecoder=new XMLDecoder(stringBufferInputStream); Object o=xmlDecoder.readObject(); System.out.println(o); } }
就可以把之前的xml数据反序列化回map对象,那么如果对xml数据进行修改,使其变成一个执行命令的数据。比如说:
<java version="1.7.0_80" class="986c-76a5-f3cb-5049 java.beans.XMLDecoder"> <object class="76a5-f3cb-5049-af3d java.lang.ProcessBuilder"> <array class="f3cb-5049-af3d-902c java.lang.String" length="1"> <void index="0"><string>calc</string></void> </array> <void method="start"></void> </object> </java>
然后对其反序列化即可执行命令弹出计算器。
现在我们知道了如果使用XMLDecoder去反序列化xml数据,数据中包含的命令会被执行。接下来就对其进行分析一下。
在readObject处打上断点开始debug
进入了parsingComplete *** ,跟进。
其中使用XMLDecoder的handler属性DocumentHandler的parse *** ,并且传入了我们输入的xml数据,跟进。
这里调用了SAXParserImpl类的parse *** 。
然后又进了xmlReader的parse *** 。
这里又调用了xmlReader父类AbstractSAXParser的parser *** 。
最后进入了XML11Configuration类的parse *** 。
在XML11Configuration中进行了很多解析XML之前的操作,我们不去仔细研究,看到处理XML数据的函数scanDocument。跟进查看
这个函数通过迭代的方式对XML数据的标签进行解析,网上有些文章写道“解析至END_ELEMENT时跟进调试”,但是我看了一下我这里的END_ELEMENT。
里面没有函数可以跟进啊,然后搜了一些其他的文章,是因为jdk版本的问题,处理的逻辑放在了next函数里。在do while循环里跳了大概十次,就开始解析了xml的标签。
跳到XMLDocumentScannerImpl中的next ***
跳到XMLDocumentFragmentScannerImpl中的next *** ,解析到endtag时会走到scanEndElement *** 里。
然后就到了网上说的endElement *** 里,跟进。
这一部分的解析可以参考下图:
也就是说解析时会按照标签一个一个解析。
这里的handler是StringElementHandler,但是这个类没有重写endElement *** ,所以调用的是父类ElementHandler的endElement *** ,其中调用了getValueObject来获取标签中的value值,这里的标签是string标签,所以获取到的值是calc。
然后将其添加到其父类标签VoidElementHandler的Argument属性中。
然后将handler指向其父类VoidElementHandler。
继续解析到void标签,此时的handler就是VoidElementHandler,接着调用getValueObject。但是因为没有重写该 *** ,所以调用父类NewElementHandler的getValueObject。
继续跟进发现实现了反射调用invoke *** ,也就是执行了set *** 。接着再解析Array标签,按照上面的步骤解析,就完成了这一部分参数的解析。
<array class="5049-af3d-902c-dd84 java.lang.String"length="1"> <void index="0"> <string>calc</string> </void> </array>
那么再按照上面的步骤解析object标签,然后调用new *** 实例化 ProcessBuilder类。
然后解析到void标签获取到start *** ,然后通过调用start *** 实现了命令执行,弹出计算器。
也就相当于最后拼接了 new java.lang.ProcessBuilder(new String[]).start();
文章有说的不对的地方请师傅们指点,刚开始学java,大佬们轻喷。。。
https://b1ue.cn/archives/239.html
https://zhuanlan.zhihu.com/p/108754274
https://blog.csdn.net/SKI_12/article/details/85058040
Java反序列漏洞
https://sourl.cn/Lknehk
(本实验通过Apache?Commons?Collections?3为例,分析并复现JAVA反序列化漏洞。)
相信现在有很多的朋友们对于本人原始农业银行的员工。现在已退休8年,现在想要把住房公积金的钱提取出来,请问如何办理?需要流程。都想要了解吧,那么今天小编就来给大家针对本人原始农业银行的员工。现在已退休8...
農村舊時喪事訃告范文讀書啊,我信赖但有朗朗書聲出破廬,遲早有一日有萬鯉躍龍門之奇象。 農村舊時喪事訃告范文一 愛妻×××,因病醫治無效,不幸於××××年×月×日×時×分去世,終年××...
微胖男生怎样穿衣打扮?期待文中能对偏胖全球的男士有一定的协助! 服饰色调 深棕色和单色能够说成颜色上的“魔弹”,能够一瞬间具有PS的功效,由于深棕色和单色能够自身显现出别的色调,并且设计风...
直流稳定电源按习惯可分为开关型稳定电源,线性稳定电源它们又分别具有各种不同类型:开关型直流稳压电源:与线性稳压电源不同的一类稳电源就是开关型直流。 一、性质不同1、直流稳压电源:能为负载提供稳定直流电...
后勤管理工作总结(后勤主管2020年个人工作总结) 个人总结 时光荏苒,岁月飞逝,转眼间2020年即将过去。回顾这一年的工作,有遇到阻力时的低落,也有取得成效时的欣慰与自豪。总的来说,后勤主管...
郑州市大牌明星商务女学妹网上预约 毫无疑问有许多的人都据说过郑州市大牌明星商务女学妹网上预约实际上针对郑州市大牌明星商务女学妹网上预约网编觉得许多的艺人经纪人她们在郑州市这一个地区发展趋势都是很快速的...