CB利用链及无依赖打Shiro

前言#

前面已经学习了CC1到CC7的利用链，其中在CC2中认识了java.util.PriorityQueue ，它在Java中是一个优先队列，队列中每一个元素有自己的优先级。在反序列化这个对象时，为了保证队列顺序，会进行重排序的操作，而排序就涉及到大小比较，进而执行java.util.Comparator接口的compare()方法。

那么是否还能找到其他可以利用的java.util.Comparator对象呢？

Apache Commons Beanutils#

Apache Commons Beanutils 是 Apache Commons 工具集下的另一个项目，它提供了对普通Java类对象（也称为JavaBean）的一些操作方法

比如，Cat是一个最简单的JavaBean类

final public class Cat {
	private String name = "catalina";
		
   public String getName() {
		return name;
		}
	
   public void setName(String name) {
		this.name = name;
		}
}

它包含一个私有属性name，和读取和设置这个属性的两个方法，又称为getter和setter。其中，getter的方法名以get开头，setter的方法名以set开头，全名符合骆驼式命名法（Camel-Case）。

commons-beanutils中提供了一个静态方法PropertyUtils.getProperty ，让使用者可以直接调用任意JavaBean的getter方法，比如

PropertyUtils.getProperty(new Cat(), "name");

此时，commons-beanutils会自动找到name属性的getter方法，也就是getName，然后调用，获得返回值。除此之外，PropertyUtils.getProperty 还支持递归获取属性，比如a对象中有属性b，b对象 中有属性c，我们可以通过PropertyUtils.getProperty(a, "b.c"); 的方式进行递归获取。通过这个 方法，使用者可以很方便地调用任意对象的getter，适用于在不确定JavaBean是哪个类对象时使用。 当然，commons-beanutils中诸如此类的辅助方法还有很多，如调用setter、拷贝属性等。

getter#

前边说了，我们需要找可以利用的java.util.Comparator对象，在commons-beanutils包中就存在一个：org.apache.commons.beanutils.BeanComparator

BeanComparator 是commons-beanutils提供的用来比较两个JavaBean是否相等的类，其实现了java.util.Comparator接口。我们看它的compare方法

这个方法传入两个对象，如果this.property为空，则直接比较这两个对象；如果this.property不为空，则用PropertyUtils.getProperty分别取这两个对象的this.property属性，比较属性的值，上一节我们说了，PropertyUtils.getProperty这个方法会自动去调用一个JavaBean的getter方法，这个点是任意代码执行的关键。有没有什么getter方法可以执行恶意代码呢？

在[Java安全之动态加载字节码(https://www.cnblogs.com/gk0d/p/16880749.html)中，在分析TemplatesImpl时，有过这么一段描述

追溯到到最前面两个方法TemplatesImpl#getOutputProperties()，TemplatesImpl#newTransformer() ，这两者的作用域是public，可以被外部调用

其中TemplatesImpl#getOutputProperties()方法是调用链上的一环，它的内部调用了 TemplatesImpl#newTransformer()，也就是我们后面常用来执行恶意字节码的地方。

public synchronized Properties getOutputProperties() {
		try {
				return newTransformer().getOutputProperties();
		}
		catch (TransformerConfigurationException e) {
				return null;
		}
}

而getOutputProperties这个名字，是以get开头，正符合getter的定义。

所以，PropertyUtils.getProperty(o1,property) 这段代码，当o1是一个TemplatesImpl对象，而 property 的值为 outputProperties时，将会自动调用getter，也就是TemplatesImpl#getOutputProperties()方法，触发代码执行。

利用链构造#

首先创建TemplateImpl：

TemplatesImpl obj = new TemplatesImpl();
setFieldValue(obj, "_bytecodes", new byte[][]{
ClassPool.getDefault().get(evil.EvilTemplatesImpl.class.getName()).toBytecode()
   });
setFieldValue(obj, "_name", "HelloTemplatesImpl");
setFieldValue(obj, "_tfactory", new TransformerFactoryImpl());

然后,实例化BeanComparator ,BeanComparator构造函数为空时，默认的property就是空：

final BeanComparator comparator = new BeanComparator();

然后用这个comparator实例化优先队列PriorityQueue

final PriorityQueue