这个你每天都在用的类库也被透露反序列化漏洞
发布时间：2022-07-25 09:43:01 所属栏目：安全 来源：互联网
导读：在《fastjson到底做错了什么?为什么会被频繁爆出漏洞?》文章中，我从技术角度分析过为什么fastjson会被频繁爆出一些安全漏洞，然后有人在评论区发表说到底就是fastjson烂等言论，一般遇到这种评论我都是不想理的。 Apache Commons是Apache软件基金会的项目，
|
在《fastjson到底做错了什么?为什么会被频繁爆出漏洞?》文章中，我从技术角度分析过为什么fastjson会被频繁爆出一些安全漏洞，然后有人在评论区发表"说到底就是fastjson烂…"等言论，一般遇到这种评论我都是不想理的。 Apache Commons是Apache软件基金会的项目，Commons的目的是提供可重用的、解决各种实际的通用问题且开源的Java代码。 Commons Collections包为Java标准的Collections API提供了相当好的补充。在此基础上对其常用的数据结构操作进行了很好的封装、抽象和补充。让我们在开发应用程序的过程中，既保证了性能，同时也能大大简化代码。 Commons Collections的最新版是4.4，但是使用比较广泛的还是3.x的版本。其实，在3.2.1以下版本中，存在一个比较大的安全漏洞，可以被利用来进行远程命令执行。 这个漏洞在2015年第一次被披露出来，但是业内一直称称这个漏洞为"2015年最被低估的漏洞"。 因为这个类库的使用实在是太广泛了，首当其中的就是很多Java Web Server，这个漏洞在当时横扫了WebLogic、WebSphere、JBoss、Jenkins、OpenNMS的最新版。 之后，Gabriel Lawrence和Chris Frohoff两位大神在《Marshalling Pickles how deserializing objects can ruin your day》中提出如何利用Apache Commons Collection实现任意代码执行。 问题复现 这个问题主要会发生在Apache Commons Collections的3.2.1以下版本，本次使用3.1版本进行测试，JDK版本为Java 8。 利用Transformer攻击 Commons Collections中提供了一个Transformer接口，主要是可以用来进行类型转换的，这个接口有一个实现类是和我们今天要介绍的漏洞有关的，那就是InvokerTransformer。 InvokerTransformer提供了一个transform方法，该方法核心代码只有3行，主要作用就是通过反射对传入的对象进行实例化，然后执行其iMethodName方法。 利用Transformer攻击 Commons Collections中提供了一个Transformer接口，主要是可以用来进行类型转换的，这个接口有一个实现类是和我们今天要介绍的漏洞有关的，那就是InvokerTransformer。InvokerTransformer提供了一个transform方法，该方法核心代码只有3行，主要作用就是通过反射对传入的对象进行实例化，然后执行其iMethodName方法。 （编辑：应用网_丽江站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330468号