基于请求/响应对象搜索的Java中间件通用回显方法（针对HTTP）

360云安全 1636天前

Author:fnmsd@360云安全

Java中间件通用回显方法（针对HTTP）

作者：fnmsd

先感谢一下scz大佬给的博客推荐，受宠若惊+10086。

心血来潮有这么个想法，验证一下。

看了很多师傅们在研究针对Java中间价+Java反序列化回显的研究：
- https://xz.aliyun.com/t/7740
- https://xz.aliyun.com/t/7348
- https://paper.seebug.org/1233/
- （。。。应该还有挺多，就不翻了）
又看到了c0ny1师傅的作品：《java内存对象搜索辅助工具》
配合IDEA在Java应用运行时，对内存中的对象进行搜索。比如可以可以用挖掘request对象用于回显等场景。
....
按照经验来讲Web中间件是多线程的应用，一般requst对象都会存储在线程对象中，可以通过Thread.currentThread()或Thread.getThreads()获取。
并且目前回显思路主要是基于加载类，执行static块或者构造方法（原生反序列化、FastJson、Jackson一类的都有）：
- TemplatesImpl类的反序列化链，内嵌类的bytecode，defineClass。
- 其他反序列化链使用URLClassLoader进行远程加载类。
- JNDI远程加载类。

所以想到：我们能否写单个类，让它能够触发时，使用2的思路去寻找request和response，从request中获取命令参数，然后向Response中写入呢？

先说结论：可以实现，在Tomcat8/9、Jetty和Weblogic中都可使用（只测了这三，个人觉得其它Java中间件也没差），还测试了Shiro及Fastjson的场景。

Tomcat6+Shiro会报java.io.StreamCorruptedException: invalid type code:错误，很迷，有空再解决吧。

精简后的编译完的class文件大小在2800-2900B左右，Shiro反序列化用的Cookie值大小可以控制在5000字节左右，勉强可以接受。

响应时间一般在3S内。

javax.servlet.http.HttpServletRequest

javax.servlet.http.HTTPServletResponse

java类中间件的request和response分别实现以上两个接口
从Thread.currentThread()起始搜索实现了如上两个接口的对象
通过HttpServletRequest的getHeader方法可以获取到请求头
通过HTTPServletResponse的getWriter方法可以获取到响应的Writer（开始用的ServletResponse的getOutputStream接口，但是会报重复获取的OutputStream的错误，此处就改为使用getWriter了）
都搜索到后，该执行执行，该输出输出

有点多，都贴上有水字数的嫌疑，还是贴gist链接吧。┓( ´∀` )┏

编译完的class 3888字节，好吉利~

PS：在搜索Tomcat的Request过程中，不知道为何会搜出一个并非当前Request的对象，所以这里限制了Request必须包含cmd头，才认为找到了真的Request，Response目前没有发现这个问题。

由于Nginx有Cookie 4096B长度的限制，Tomcat有8096B的长度限制（感谢c0ny1师傅），所以为了能使用Templates类的链，编译出的Class文件还是越小越好。

以下内容比较乱，是一个逐渐尝试减小Class文件的过程，没兴趣可以略过

整个分析过程使用classpy-0.4.jar来进行对Class文件的分析：

1.初始

3888字节

2.去掉可有可无的静态字段

    static Class ReqC = HttpServletRequest.class;
    static Class RespC = HttpServletResponse.class;       
    static int max_depth = 50;

3734字节

3640字节

删除多余逻辑的限制逻辑

         if(depth > 50||(req!=null&&resp!=null)){
             return;
         }

3611字节

减少局变量的定义

Class a = obj.getClass();
if(a.isPrimitive()||a.toString().startsWith("java.lang")){
    return true;
}

变为：

if(obj.getClass().isPrimitive()||obj.getClass().toString().startsWith("java.lang")){
            return true;
        }

3525,少了22字节

去掉调试时用的printStackTrace
3488字节
删掉flush和waitFor
3451字节，貌似没少多少
删掉static块和start方法，只保留构造方法触发
3372
删除PrintWriter的变量赋值，删除Test by fnmsd字符串
3260
删除掉proc的定义，直接跟getInputStream一块调用
3220
合并Scanner相关逻辑为一句：
resp.getWriter().println(new Scanner(Runtime.getRuntime().exec(req.getHeader("cmd")).getInputStream()).useDelimiter("\\A").next())
3130

以下本应有判断来进行的剪枝，改为使用异常处理兜着

去掉java.lang类的搜索剪枝
obj.getClass().toString().startsWith("java.lang")
节省了toString和startsWith
3009
去掉数组包裹类型的为非primtive的判断
obj.getClass().getComponentType().isPrimitive()
2962
去掉全部isPrimitive的判断
2917
去掉搜索时字段值为null的判断
2908
给类名、字段名、方法名、局部变量名都改为一个字符
2850
这里改局部变量其实不起作用。
去掉是否为静态字段的判断
if((declaredField.getModifiers()&0x00000008) == 0)
2803（最终大小在2800-2900之间，不会差太多，后面不知道又改哪里了，到了2900左右）

最终结果代码(使用构造方法触发，也可以改成Static，都一样)：https://gist.github.com/fnmsd/8165cedd9fe735d7ef438b2e977af327(这份代码不是最终版的，有Bug,请继续往后看)

由于都是new一个对象或者static块执行，所以偷了个懒，简单写了个jsp页面，可以看到没有任何的输出内容，只是new了一下对象：
```
<%@ page import="aa.a" %>
<%@ page contentType="text/html;charset=UTF-8" language="java" %>
  <%
    new a();
  %>
```
Weblogic（打包有点问题，页面没改成最简版的）:
Tomcat:
Jetty:
Tomat8+Shiro反序列化
这里用的Jdk7u21的链(TemplatesImpl触发)来new我写的类,rememberMe长度5036
懒得部环境的同学，可以用Vulhub里面的Shiro环境，（SpringBoot用的嵌入式Tomcat9）但是那个得用CommonsBeanutils1的链。