Xstream 的反序列化漏洞的根源就是 Groovy 组件的问题(参考 [Apache Groovy MethodClosure 远程代码执行漏洞（CVE-2015-3253）](https://www.seebug.org/vuldb/ssvid-90854))，只不过在 Xstream 中进行反序列化时恰好有触发存在缺陷函数的点，也就是 Xstream 在反序列化时调用了 `Map#put` 函数将构造好的 `Expando` 实例作为 key 添加到集合中时触发了代码执行，如下图:
这里的 key 就是我们构造的 `Expando` 的实例对象。
在构造 EXP 时，首先我们要构造一个 `Expando` 的一个对象实例，同时设置 `hashCode` 的实现为 `MethodClosure` 的实例，然后实例化一个 `HashMap` 对象调用 `put` 方法将 `Expando` 的实例化对象作为 key，value 任意添加到 map 中，然后让 Xstream 对 map 进行序列化，这样我们的 Payload 就 OK 了。
估计有很多人不明白漏洞作者博客的 POC 是怎么来的，这里的序列化是基于 xml 的，所以得借助 Xstream 相关函数将构造好的对象进行序列化然后生成 xml，反序列化时解析 xml，转换成相关对象。
好人做到底，我就把POC的生成代码也发出来吧:
执行程序后，我们的POC就生成成功，如下图所示:
至于怎么执行其他的代码，这个还比较麻烦，除了执行命令之外，好像没有什么好的办法，因为 `MethodClosure` 的构造函数中指定了要执行方法的对象以及执行的方法名称，所以说只能调用一次构造函数，并且有一个无参数的方法可以执行，这样才能实现函数的正常运行。
### 来源与参考
* [Apache Groovy MethodClosure 远程代码执行漏洞（CVE-2015-3253）](https://www.seebug.org/vuldb/ssvid-90854)
* [Xstream Deserializable Vulnerablity And Groovy(CVE-2015-3253)](http://drops.wooyun.org/papers/13243)
* [RCE via XStream object deserialization](http://www.pwntester.com/blog/2013/12/23/rce-via-xstream-object-deserialization38/)
* [Serialization Must Die: Act 2: XStream (Jenkins CVE-2016-0792)](https://www.contrastsecurity.com/security-influencers/serialization-must-die-act-2-xstream?platform=hootsuite)
公主
京公网安备 11010502034610号
暂无评论