1. 黑客安全网-互联网安全媒体信息综合平台首页
  2. 分类阅读
  3. 网络安全

java反序列化——XMLDecoder反序列化漏洞

本文首发于“合天智汇”公众号 作者:Fortheone

前言

最近学习java反序列化学到了weblogic部分,weblogic之前的两个反序列化漏洞不涉及T3协议之类的,只是涉及到了XMLDecoder反序列化导致漏洞,但是网上大部分的文章都只讲到了触发XMLDecoder部分就结束了,并没有讲为什么XMLDecoder会触发反序列化导致命令执行。于是带着好奇的我就跟着调了一下XMLDecoder的反序列化过程。

xml序列化

首先了解一下java中的XMLDecoder是什么。XMLDecoder就是jdk中一个用于处理xml数据的类,先看两个例子。

这里引用一下浅蓝表哥的(强推浅蓝表哥的博客https://b1ue.cn/

import java.beans.XMLEncoder;
import java.io.IOException;
import java.util.ArrayList;
import java.util.HashMap;

/**
 * @author 浅蓝
 * @email [email protected]
 * @since 2019/4/24 12:09
 */
public class Test {

    public static void main(String[] args) throws IOException, InterruptedException {

        HashMap map = new HashMap();
        map.put("123","aaaa");
        map.put("321",new ArrayList());

        XMLEncoder xmlEncoder = new XMLEncoder(System.out);
        xmlEncoder.writeObject(map);
        xmlEncoder.close();

    }
}
java反序列化——XMLDecoder反序列化漏洞

这样就把map对象变成了xml数据,再使用XMLDecoder解析一下。

/**
 * @author 浅蓝
 * @email [email protected]
 * @since 2019/4/24 12:09
 */
public class Test {

    public static void main(String[] args) throws IOException, InterruptedException {
        String s = "n" +
                " n" +
                "  n" +
                "   123n" +
                "   aaaan" +
                "  n" +
                "  n" +
                "   321n" +
                "   n" +
                "  n" +
                " n" +
                "";
        StringBufferInputStream stringBufferInputStream = new StringBufferInputStream(s);
        XMLDecoder xmlDecoder = new XMLDecoder(stringBufferInputStream);
        Object o = xmlDecoder.readObject();
        System.out.println(o);

    }
}
java反序列化——XMLDecoder反序列化漏洞

就可以把之前的xml数据反序列化回map对象,那么如果对xml数据进行修改,使其变成一个执行命令的数据。比如说:


 
  
    calc
  
  
 

然后对其反序列化即可执行命令弹出计算器。

java反序列化——XMLDecoder反序列化漏洞

现在我们知道了如果使用XMLDecoder去反序列化xml数据,数据中包含的命令会被执行。接下来就对其进行分析一下。

XMLDecoder反序列化漏洞成因

一、XML数据解析前的函数处理

java反序列化——XMLDecoder反序列化漏洞

在readObject处打上断点开始debugjava反序列化——XMLDecoder反序列化漏洞

进入了parsingComplete方法,跟进。java反序列化——XMLDecoder反序列化漏洞

其中使用XMLDecoder的handler属性DocumentHandler的parse方法,并且传入了我们输入的xml数据,跟进。java反序列化——XMLDecoder反序列化漏洞

这里调用了SAXParserImpl类的parse方法。java反序列化——XMLDecoder反序列化漏洞

然后又进了xmlReader的parse方法。java反序列化——XMLDecoder反序列化漏洞

这里又调用了xmlReader父类AbstractSAXParser的parser方法。java反序列化——XMLDecoder反序列化漏洞

最后进入了XML11Configuration类的parse方法。

二、XML数据的处理java反序列化——XMLDecoder反序列化漏洞

在XML11Configuration中进行了很多解析XML之前的操作,我们不去仔细研究,看到处理XML数据的函数scanDocument。跟进查看java反序列化——XMLDecoder反序列化漏洞

这个函数通过迭代的方式对XML数据的标签进行解析,网上有些文章写道“解析至END_ELEMENT时跟进调试”,但是我看了一下我这里的END_ELEMENT。java反序列化——XMLDecoder反序列化漏洞

里面没有函数可以跟进啊,然后搜了一些其他的文章,是因为jdk版本的问题,处理的逻辑放在了next函数里。在do while循环里跳了大概十次,就开始解析了xml的标签。java反序列化——XMLDecoder反序列化漏洞

跳到XMLDocumentScannerImpl中的next方法java反序列化——XMLDecoder反序列化漏洞

跳到XMLDocumentFragmentScannerImpl中的next方法,解析到endtag时会走到scanEndElement方法里。

然后就到了网上说的endElement方法里,跟进。java反序列化——XMLDecoder反序列化漏洞

这一部分的解析可以参考下图:java反序列化——XMLDecoder反序列化漏洞

也就是说解析时会按照标签一个一个解析。

java反序列化——XMLDecoder反序列化漏洞
这里调用了DocumentHandler的endElement方法。接下来就是很重要的部分java反序列化——XMLDecoder反序列化漏洞

java反序列化——XMLDecoder反序列化漏洞

这里的handler是StringElementHandler,但是这个类没有重写endElement方法,所以调用的是父类ElementHandler的endElement方法,其中调用了getValueObject来获取标签中的value值,这里的标签是string标签,所以获取到的值是calc。

java反序列化——XMLDecoder反序列化漏洞java反序列化——XMLDecoder反序列化漏洞

然后将其添加到其父类标签VoidElementHandler的Argument属性中。

java反序列化——XMLDecoder反序列化漏洞

然后将handler指向其父类VoidElementHandler。java反序列化——XMLDecoder反序列化漏洞

继续解析到void标签,此时的handler就是VoidElementHandler,接着调用getValueObject。但是因为没有重写该方法,所以调用父类NewElementHandler的getValueObject。

java反序列化——XMLDecoder反序列化漏洞
java反序列化——XMLDecoder反序列化漏洞

继续跟进发现实现了反射调用invoke方法,也就是执行了set方法。接着再解析Array标签,按照上面的步骤解析,就完成了这一部分参数的解析。


  
      calc
  
java反序列化——XMLDecoder反序列化漏洞

那么再按照上面的步骤解析object标签,然后调用new 方法实例化 ProcessBuilder类。

java反序列化——XMLDecoder反序列化漏洞

然后解析到void标签获取到start方法,然后通过调用start方法实现了命令执行,弹出计算器。

也就相当于最后拼接了 new java.lang.ProcessBuilder(new String[]{“calc”}).start();

java反序列化——XMLDecoder反序列化漏洞

文章有说的不对的地方请师傅们指点,刚开始学java,大佬们轻喷。。。

参考文章

https://b1ue.cn/archives/239.html

https://zhuanlan.zhihu.com/p/108754274

https://blog.csdn.net/SKI_12/article/details/85058040

相关实验

Java反序列漏洞

https://sourl.cn/Lknehk

(本实验通过Apache Commons Collections 3为例,分析并复现JAVA反序列化漏洞。)

相关推荐: 为什么Web端登录需要验证码?

很多朋友们对于登录必然遇到的验证码这个事情很不理解,增加用户操作的冗余性,直接登录很方便,为什么web端登录要添加个验证码?直到上周,一家做业务安全的公司给出我们现在Web网站的安全报告,我才意识到:验证码的本质属性安全性,除了防止恶意破解密码、刷票、羊毛党、…

本文为转载文章,源自互联网,由网络整理整理编辑,转载请注明出处:https://www.hacksafe.net/articles/network/3633.html

发表评论

电子邮件地址不会被公开。 必填项已用*标注