XMLDecoder解析流程分析

最开始是准备入手CVE-2018-10271的，结果百度搜了很多文章都是到MXLDecoder.readObject()就结束了。而我在此之前并没有接触过XMLDecoder，所以只能回头补课了。

首先写一个Demo进行调试

import java.io.BufferedInputStream;
import java.io.File;
import java.io.FileInputStream;
import java.beans.XMLDecoder;

public class XMLDecoderDemo01 {

    public static void XMLDecode_Deserialize(String path) throws Exception {
        File file = new File(path);
        FileInputStream fis = new FileInputStream(file);
        BufferedInputStream bis = new BufferedInputStream(fis);
        XMLDecoder xd = new XMLDecoder(bis);
        xd.readObject(); // 在这打断点
        xd.close();
    }


    public static void main(String[] args){
        //XMLDecode Deserialize Test
        String path = System.getProperty("user.dir") + "\src\pocDemo01.xml";

        try {
            
            XMLDecode_Deserialize(path);

        } catch (Exception e) {
            e.printStackTrace();
        }
    }
}

然后就是xml文档了。

非常简单的一个xml文档，通过ProcessBuilder启动计算器calc。

进入debug模式，首先进入眼帘的是DocumentHandler.parse()方法，可以通过调用栈找到。

//DocumentHandler.java
public void parse(final InputSource var1) {
    if (this.acc == null && null != System.getSecurityManager()) {
        throw new SecurityException("AccessControlContext is not set");
    } else {
        AccessControlContext var2 = AccessController.getContext();
        SharedSecrets.getJavaSecurityAccess().doIntersectionPrivilege(new PrivilegedAction() {
            public Void run() {
                try {
           SAXParserFactory.newInstance().newSAXParser().parse(var1, DocumentHandler.this);
                } catch (ParserConfigurationException var3) {
                    DocumentHandler.this.handleException(var3);
                } catch (SAXException var4) {
                    Object var2 = var4.getException();
                    if (var2 == null) {
                        var2 = var4;
                    }

                    DocumentHandler.this.handleException((Exception)var2);
                } catch (IOException var5) {
                    DocumentHandler.this.handleException(var5);
                }

                return null;
            }
        }, var2, this.acc);
    }
}

在doIntersectionPrivilege()方法里的参数action是一个匿名类，而这个匿名类的run()方法会实例化SAXParser并调用其parse()方法，这是我们下一步的入口函数。

//SAXParserImpl.java
public void parse(InputSource is, DefaultHandler dh)
    throws SAXException, IOException {
    if (is == null) {
        throw new IllegalArgumentException();
    }
    if (dh != null) {
        xmlReader.setContentHandler(dh);
        xmlReader.setEntityResolver(dh);
        xmlReader.setErrorHandler(dh);
        xmlReader.setDTDHandler(dh);
        xmlReader.setDocumentHandler(null);
    }
    xmlReader.parse(is);
}

这里的xmlReader是SAXParserImpl的一个内部类JAXPSAXParser。

//SAXParserImpl$JAXPSAXParser
public void parse(InputSource inputSource)
    throws SAXException, IOException {
    if (fSAXParser != null && fSAXParser.fSchemaValidator != null) {
        if (fSAXParser.fSchemaValidationManager != null) {
            fSAXParser.fSchemaValidationManager.reset();
            fSAXParser.fUnparsedEntityHandler.reset();
        }
        resetSchemaValidator();
    }
    super.parse(inputSource);
}

在之后会经过一系列的parse()方法，这些parse()方法主要是为了以后的解析过程做准备，一直到XML11Configuration.parse()方法才开始进行解析。

//XML11Configuration.java
public boolean parse(boolean complete) throws XNIException, IOException{
    
    
    
    try {
            return fCurrentScanner.scanDocument(complete);
        } catch (XNIException ex) {}
    
}

顾名思义scanDocument()方法就是扫描我们的pocDemo01.xml文档的。

//XMLDocumentFragmentScannerImpl.java

public boolean scanDocument(boolean complete)
throws IOException, XNIException {

    // keep dispatching "events"
    fEntityManager.setEntityHandler(this);
    //System.out.println(" get Document Handler in NSDocumentHandler " + fDocumentHandler );

    int event = next();
    do {
        switch (event) {
            case XMLStreamConstants.START_DOCUMENT :
                break;
            case XMLStreamConstants.ATTRIBUTE :
                break;
            case XMLStreamConstants.END_ELEMENT :
                //do not give callback here.
                //this callback is given in scanEndElement function.
                //fDocumentHandler.endElement(getElementQName(),null);
                break;
            default :
                throw new InternalError("processing event: " + event);
        }
        event = next();
    } while (event!=XMLStreamConstants.END_DOCUMENT && complete);

    if(event == XMLStreamConstants.END_DOCUMENT) {
        fDocumentHandler.endDocument(null);
        return false;
    }

    return true;

} // scanDocument(boolean):boolean

这里一些老的文章在分析XMLStreamConstants.END_ELEMENT，但是可以看到已经被注释掉了。根据注释原来的处理方法被移动到scanEndElement function，在IDEA搜索scanEndElement函数，通过IDEA的usage功能，找到在next()方法里对该函数进行了调用，在scanEndElement()方法处打上断点。

来看一下next()的注释

public int next() throws IOException, XNIException{}

得知该函数就是解析XML文档的函数。因为其过程过于复杂，详细可看XMLDecoder 解析流程（详细讲解）。

简单来说，next()中每次解析出的结果都会有对应的Handler进行处理。

XML文档的解析是从里到外解析的，在本例中pocDemo01.xml就是先解析calc，往外一层的 ，以此类推，我们直接看到