[Java反序列化]Java-CommonsBeanutils1利用链分析

Posted 2021-08-29 Y4tacker

文章目录

• 反序列化调用链
• Java-CommonsBeanutils1利用链分析
• 参考文章

反序列化调用链

ObjectInputStream.readObject()
	PriorityQueue.readObject()
		PriorityQueue.heapify()
			PriorityQueue.siftDown()
				siftDownUsingComparator()
					BeanComparator.compare()
						TemplatesImpl.getOutputProperties()
							TemplatesImpl.newTransformer()
								TemplatesImpl.getTransletInstance()
									TemplatesImpl.defineTransletClasses()
										TemplatesImpl.TransletClassLoader.defineClass()
											Pwner*(Javassist-generated).<static init>
												Runtime.exec()

Java-CommonsBeanutils1利用链分析

首先PriorityQueue 是使用数组实现的完全二叉树优先队列，不允许空值，而且不支持 non-comparable 的对象。由于TemplatesImpl 未实现 Comparable 接口，为了绕过这个，可以看到代码当中首先添加了两个 BigInteger 值为1的对象。BeanComparator 中设置的比较属性为 lowestSetBit，这里也可以改为 BigInteger 其它的可比较属性名称，之后，利用 Java 反射机制将 Comparator的property 设置为 TemplatesImpl 的属性 outputProperties，但是这个属性在这里未起到比较的作用。它的重要作用将在 payload 反序列化时体现。
而PropertyUtils.getProperty 这个方法会自动去调用一个JavaBean的getter方法，
这个点是任意代码执行的关键
还记得之前我跟的TemplatesImpl调用newTransfer执行字节码了么

TemplatesImpl#newTransformer() -> TemplatesImpl#getTransletInstance() -> TemplatesImpl#defineTransletClasses() -> TransletClassLoader#defineClass()

我们再往前看TemplatesImpl#getOutputProperties(),作用域是public，可以被外部调用

这时候我们就要配合使用BeanComparator
BeanComparator是commons-beanutils提供的用来比较两个JavaBean是否相等的类，其实现了java.util.Comparator接口
下面来跟一波调用流程

继续

继续

BeanComparator的compare方法

后面其实没啥好说的，前面我的文章已经分析过很多次TemplatesImpl的加载字节码的过程

通过getOutputProperties调用newTransformer实现我们后面的步骤

分析大致结束Payload可以看参考文章，也可以直接使用ysoserial

参考文章

Java 反序列化之 CommonsBeanUtils 分析