TemplatesImpl類是一個可序列化的類，其中有一個屬性_bytecodes，里面保存的數(shù)據(jù)在defineTransletClasses函數(shù)里將會被加載成類：

成都創(chuàng)新互聯(lián)公司主要為客戶提供服務(wù)項目涵蓋了網(wǎng)頁視覺設(shè)計、VI標(biāo)志設(shè)計、全網(wǎng)整合營銷推廣、網(wǎng)站程序開發(fā)、HTML5響應(yīng)式成都網(wǎng)站建設(shè)、手機(jī)網(wǎng)站制作、微商城、網(wǎng)站托管及網(wǎng)頁維護(hù)、WEB系統(tǒng)開發(fā)、域名注冊、國內(nèi)外服務(wù)器租用、視頻、平面設(shè)計、SEO優(yōu)化排名。設(shè)計、前端、后端三個建站步驟的完善服務(wù)體系。一人跟蹤測試的建站服務(wù)標(biāo)準(zhǔn)。已經(jīng)為成都軟裝設(shè)計行業(yè)客戶提供了網(wǎng)站營銷服務(wù)。

存在著這樣一條調(diào)用鏈條：

簡單來說，只要是能調(diào)用到getOutputProperties函數(shù)，就能觸發(fā)包含在_bytecodes里的類構(gòu)造函數(shù)被執(zhí)行（這個類是由***者來實(shí)現(xiàn)的）。

Payload第一部分：

創(chuàng)建了一個BeanComparator對象，將其作為參數(shù)用來創(chuàng)建一個PriorityQueue，向queue對象中添加兩個大整數(shù)對象（占位用）。
接著通過反射機(jī)制設(shè)置了comparator后面將會對比對象的屬性為outputProperties。

Payload第二部分：

通過反射機(jī)制修改queue中數(shù)組保存的對比對象為內(nèi)置了***代碼的templates。
返回queue，將其生成序列化數(shù)據(jù)。

漏洞觸發(fā)邏輯：
反序列化的queue的時候，其對應(yīng)的PriorityQueue類readObject函數(shù)會依次讀取序列化數(shù)據(jù)中的元素，放入到隊列中。然后，調(diào)用heapify函數(shù)進(jìn)行排序操作。

最終，會調(diào)用到siftDownUsingComparator函數(shù)，其中會調(diào)用comparator的compare方法：

compare方法中將會調(diào)用被對比對象的對應(yīng)屬性get方法，這里的o1，o2就是之前傳入的templates對象，this.property就是之前通過反射機(jī)制修改的outputProperties。因此，最終就調(diào)用了TemplatesImpl的getOutputProperties函數(shù)，觸發(fā)POC代碼執(zhí)行：

另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國服務(wù)器、虛擬主機(jī)、免備案服務(wù)器”等云主機(jī)租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價比高”等特點(diǎn)與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場景需求。

文章標(biāo)題：Java反序列化之commons-beanutils分析-創(chuàng)新互聯(lián)
地址分享：http://weahome.cn/article/eedjo.html