OGNL表达式注入分析

OGNL基础

依赖

1. <dependency>
2.         <groupId>ognl</groupId>
3.         <artifactId>ognl</artifactId>
4.         <version>3.1.19</version>
5. </dependency>

复制代码

OGNL三要素

• Expression表达式
  
• root根对象、即操作对象
  
• context上下文，用于生存对象运行的属性及值，有点类似运行环境的意思，生存了环境变量
  

看个例子

1. package org.example;
3. public class Tester {
4.     public User user;
6.     public User getUser() {
7.         return user;
8.     }
10.     public void setUser(User user) {
11.         this.user = user;
12.     }
13. }

复制代码

1. package org.example;
3. public class User {
4.     private String name;
5.     private int age;
6.     public String getName(){
7.         return name;
8.     }
9.     public int getAge(){
10.         return age;
11.     }
12.     public void setName(String name){
13.         this.name = name;
14.     }
15.     public void setAge(int age){
16.         this.age = age;
17.     }
18.     public User(String name, int age){
19.         this.name = name;
20.         this.age = age;
21.     }
22. }

复制代码

1. package org.example;
3. import ognl.Ognl;
4. import ognl.OgnlContext;
5. import ognl.OgnlException;
7. public class Main {
8.     public static void main(String[] args) throws OgnlException {
9.         Tester tester = new Tester();
10.         User user = new User("F12", 20);
11.         tester.setUser(user);
12.         // 创建context, 设置root
13.         OgnlContext context = new OgnlContext();
14.         context.setRoot(tester);
15.         // 设置表达式
16.         String expression = "user.name";
17.         // 解析表达式
18.         Object ognl = Ognl.parseExpression(expression);
19.         // 调用获取值
20.         Object value = Ognl.getValue(ognl, context, context.getRoot());
21.         System.out.println(value);
22.     }
23. }
25. // 输出
26. F12

复制代码

运行以上代码就是获取org.example.Tester.user.name的值，上述我们是创建了一个tester，并且让他的user属性为一个User对象，且tester设置为root，表达式为user.name也就是获取root即tester的user属性的name属性。
OGNL语法

• .操作符
  

一个例子，(#a=new java.lang.String("calc")).(@java.lang.Runtime@getRuntime().exec(#a))，也可以这样(#a=new java.lang.String("calc")),(@java.lang.Runtime@getRuntime().exec(#a))，中间的点换成逗号。可以发现它执行的方式有点类似递归，他把.前面的表达式当做结果给背面的表达式执行了这里需要注意一下#前我们用括号包裹起来了，这是为了符合语法，假如去掉那一层包裹会报错

• #操作符
  

用于调用非root对象

1. package org.example;
3. import ognl.Ognl;
4. import ognl.OgnlContext;
5. import ognl.OgnlException;
7. public class Main {
8.     public static void main(String[] args) throws OgnlException {
9.         Tester tester = new Tester();
10.         User user = new User("F12", 20);
11.         tester.setUser(user);
12.         // 创建context, 设置root
13.         OgnlContext context = new OgnlContext();
14. //        context.setRoot(tester);
15.         context.put("user", user);
16.         // 设置表达式
17.         String expression = "#user.name";
18.         // 解析表达式
19.         Object ognl = Ognl.parseExpression(expression);
20.         // 调用获取值
21.         Object value = Ognl.getValue(ognl, context, context.getRoot());
22.         System.out.println(value);
23.     }
24. }
25. // 输出
26. F12

复制代码

用于创建Map
#{"name": "f12", "level": "noob"}
用于界说变量
如一开始的例子#a=new java.lang.String("calc")，界说了一个字符串常量

• @操作符
  

用于调用静态属性、静态方法、静态变量，如上述的@java.lang.Runtime@getRuntime().exec
OGNL版本限制

在OGNL>=3.1.25版本中设置了黑名单

1. public static Object invokeMethod(Object target, Method method, Object[] argsArray)
2.     throws InvocationTargetException, IllegalAccessException
3. {
5.     if (_useStricterInvocation) {
6.         final Class methodDeclaringClass = method.getDeclaringClass();  // Note: synchronized(method) call below will already NPE, so no null check.
7.         if ( (AO_SETACCESSIBLE_REF != null && AO_SETACCESSIBLE_REF.equals(method)) ||
8.             (AO_SETACCESSIBLE_ARR_REF != null && AO_SETACCESSIBLE_ARR_REF.equals(method)) ||
9.             (SYS_EXIT_REF != null && SYS_EXIT_REF.equals(method)) ||
10.             (SYS_CONSOLE_REF != null && SYS_CONSOLE_REF.equals(method)) ||
11.             AccessibleObjectHandler.class.isAssignableFrom(methodDeclaringClass) ||
12.             ClassResolver.class.isAssignableFrom(methodDeclaringClass) ||
13.             MethodAccessor.class.isAssignableFrom(methodDeclaringClass) ||
14.             MemberAccess.class.isAssignableFrom(methodDeclaringClass) ||
15.             OgnlContext.class.isAssignableFrom(methodDeclaringClass) ||
16.             Runtime.class.isAssignableFrom(methodDeclaringClass) ||
17.             ClassLoader.class.isAssignableFrom(methodDeclaringClass) ||
18.             ProcessBuilder.class.isAssignableFrom(methodDeclaringClass) ||
19.             AccessibleObjectHandlerJDK9Plus.unsafeOrDescendant(methodDeclaringClass) ) {
20.             throw new IllegalAccessException("........");
21.         }

复制代码

投影与选择

OGNL 支持类似数据库当中的选择与投影功能。

• 投影：选出集合当中的雷同属性组合成一个新的集合。语法为 collection.{XXX}，XXX 就是集合中每个元素的公共属性。
  
• 选择：选择就是选择出集合当中符合条件的元素组合成新的集合。语法为 collection.{Y XXX}，其中 Y 是一个选择操作符，XXX 是选择用的逻辑表达式。选择操作符有 3 种：
  
  
  
  • ? ：选择满足条件的全部元素
    
  • ^：选择满足条件的第一个元素
    
  • $：选择满足条件的最后一个元素
    
  
  

1. User p1 = new User("name1", 11);
2. User p2 = new User("name2", 22);
3. User p3 = new User("name3", 33);
4. User p4 = new User("name4", 44);
5. Map<String, Object> context = new HashMap<String, Object>();
6. ArrayList<User> list = new ArrayList<User>();
7. list.add(p1);
8. list.add(p2);
9. list.add(p3);
10. list.add(p4);
11. context.put("list", list);
12. System.out.println(Ognl.getValue("#list.{age}", context, list));
13. // [11, 22, 33, 44]
14. System.out.println(Ognl.getValue("#list.{age + '-' + name}", context, list));
15. // [11-name1, 22-name2, 33-name3, 44-name4]
16. System.out.println(Ognl.getValue("#list.{? #this.age > 22}", context, list));
17. // [org.example.User@6433a2, org.example.User@5910e440]
18. System.out.println(Ognl.getValue("#list.{^ #this.age > 22}", context, list));
19. // [org.example.User@6433a2]
20. System.out.println(Ognl.getValue("#list.{$ #this.age > 22}", context, list));
21. // [org.example.User@5910e440]

复制代码

OGNL Expression解析流程

getValue处打个断点，跟进，注意这个node的类型ASTchain在OGNL表达式中，解析和执行就是通过ASTXXXX这些方法去解析执行的，一共有ASTChain、ASTConst、ASTCtor、ASTInstanceof、ASTList、ASTMethod、ASTStaticField、ASTStaticMethod.....等多种方法，其中最根本的就是chain

进入chain的getValue方法

进入evaluateGetValueBody方法，这里判断context是不是const，这里并不是

往下走进入getValueBody，获取子节点，并进入子节点的getValue方法，然后就这样一直循环

最后进入OgnlRuntime.callMethod

一直往下走，这里invoke，弹出计算器

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。