Java反序列化之commons-beanutils分析-创新互联

TemplatesImpl类是一个可序列化的类,其中有一个属性_bytecodes,里面保存的数据在defineTransletClasses函数里将会被加载成类:
Java反序列化之commons-beanutils分析
Java反序列化之commons-beanutils分析

成都创新互联公司主要为客户提供服务项目涵盖了网页视觉设计、VI标志设计、全网整合营销推广、网站程序开发、HTML5响应式成都网站建设手机网站制作、微商城、网站托管及网页维护、WEB系统开发、域名注册、国内外服务器租用、视频、平面设计、SEO优化排名。设计、前端、后端三个建站步骤的完善服务体系。一人跟踪测试的建站服务标准。已经为成都软装设计行业客户提供了网站营销服务。

存在着这样一条调用链条:
Java反序列化之commons-beanutils分析
简单来说,只要是能调用到getOutputProperties函数,就能触发包含在_bytecodes里的类构造函数被执行(这个类是由***者来实现的)。

Payload第一部分:
Java反序列化之commons-beanutils分析
创建了一个BeanComparator对象,将其作为参数用来创建一个PriorityQueue,向queue对象中添加两个大整数对象(占位用)。
接着通过反射机制设置了comparator后面将会对比对象的属性为outputProperties。

Payload第二部分:
Java反序列化之commons-beanutils分析
通过反射机制修改queue中数组保存的对比对象为内置了***代码的templates。
返回queue,将其生成序列化数据。

漏洞触发逻辑:
反序列化的queue的时候,其对应的PriorityQueue类readObject函数会依次读取序列化数据中的元素,放入到队列中。然后,调用heapify函数进行排序操作。
Java反序列化之commons-beanutils分析
最终,会调用到siftDownUsingComparator函数,其中会调用comparator的compare方法:
Java反序列化之commons-beanutils分析
compare方法中将会调用被对比对象的对应属性get方法,这里的o1,o2就是之前传入的templates对象,this.property就是之前通过反射机制修改的outputProperties。因此,最终就调用了TemplatesImpl的getOutputProperties函数,触发POC代码执行:
Java反序列化之commons-beanutils分析

Java反序列化之commons-beanutils分析

另外有需要云服务器可以了解下创新互联scvps.cn,海内外云服务器15元起步,三天无理由+7*72小时售后在线,公司持有idc许可证,提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案,具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势,专为企业上云打造定制,能够满足用户丰富、多元化的应用场景需求。


网页名称:Java反序列化之commons-beanutils分析-创新互联
文章源于:http://scyanting.com/article/eedjo.html