ImmutableSetMultimap 反序列化利用链深入分析<\/h1>

概述<\/h2>
本文深入分析 Guava 库中 `ImmutableSetMultimap<\/code> 类的反序列化利用链。该漏洞利用 Guava 不可变集合在反序列化过程中的空值检查机制，结合特定对象触发恶意代码执行。<\/p>`

漏洞背景<\/h2>
核心组件<\/h3>

ImmutableSetMultimap<\/strong>: Guava 库中的不可变多重映射集合<\/li>
JSONArray<\/strong>: Jackson 库中的 JSON 数组实现<\/li>
DruidXADataSource<\/strong>: 阿里 Druid 连接池的 XA 数据源实现<\/li>
<\/ul>
关键技术点<\/h3>

Jackson 的 JSONArray.toString()<\/code> 方法会自动调用类的 getter 方法<\/li>
Guava 的不可变集合在反序列化时具有严格的空值检查机制<\/li>
利用异常处理过程中的字符串转换触发恶意代码<\/li>
<\/ul>
利用链构造过程<\/h2>
调用链分析<\/h3>
ImmutableSetMultimap.readObject()
    → SingletonImmutableBiMap.readResolve()
        → SerializedForm.createMap()
            → Builder.put()
                → ImmutableMap.entryOf()
                    → checkEntryNotNull()
                        → String.valueOf()
                            → JSONArray.toString()
                                → DruidXADataSource.getValidationQuery()
                                    → SQL CALL 语句执行
                                        → SerializationUtils.deserialize()
<\/code><\/pre>
详细技术分析<\/h2>
第一步：ImmutableSetMultimap 反序列化<\/h3>
当 ImmutableSetMultimap<\/code> 的 readObject<\/code> 方法被调用时：<\/p>

读取序列化数据，包括内部的 map 结构<\/li>
在利用链中，这个 map 是 SingletonImmutableBiMap<\/code> 实例<\/li>
<\/ul>
第二步：SingletonImmutableBiMap 的 readResolve<\/h3>
SingletonImmutableBiMap<\/code> 在反序列化时的行为：<\/p>

调用 readResolve<\/code> 方法<\/li>
通过 SerializedForm.createMap<\/code> 重新构建 map 对象<\/li>
在构建过程中，调用 Builder.put<\/code> 来添加键值对<\/li>
<\/ul>
第三步：Builder.put 和 entryOf<\/h3>
Builder.put<\/code> 方法的执行流程：<\/p>

调用 ImmutableMap.entryOf<\/code> 创建 entry 对象<\/li>
该方法会检查 key 和 value 是否为 null<\/li>
<\/ul>
第四步：关键的空值检查<\/h3>
checkEntryNotNull<\/code> 方法的作用：<\/p>

检查 entry 的 key 和 value 是否为 null<\/li>
在检查过程中，由于抛出异常，Guava 会调用 String.valueOf()<\/code> 将对象转换为字符串<\/li>
这是整个利用链的关键转折点<\/li>
<\/ul>
第五步：触发 JSONArray.toString<\/h3>
字符串转换的触发机制：<\/p>

当 String.valueOf()<\/code> 被调用时，如果对象是 JSONArray<\/code>，就会调用 JSONArray.toString()<\/code> 方法<\/li>
Jackson 的 JSONArray.toString()<\/code> 方法会自动调用类中定义的 getter 方法<\/li>
<\/ul>
恶意对象构造<\/h2>
DruidXADataSource 利用<\/h3>
恶意对象选择<\/strong>：使用 DruidXADataSource<\/code> 作为攻击载体<\/p>
攻击原理<\/strong>：<\/p>

validationQuery<\/code> 字段会在连接池验证连接时被执行<\/li>
在该字段中嵌入 SQL CALL 语句<\/li>
调用 Spring 的反序列化工具类执行构造好的 payload<\/li>
<\/ul>
具体实现<\/strong>：<\/p>
DruidXADataSource ds =<\/span> new<\/span> DruidXADataSource();<\/span>
<\/span><\/span>\/\/ 设置恶意 validationQuery，包含 SQL CALL 语句
<\/span><\/span><\/span><\/span>ds.<\/span>setValidationQuery<\/span>(<\/span>"CALL malicious_procedure()"<\/span>);<\/span>
<\/span><\/span><\/code><\/pre>攻击执行流程<\/h3>

DruidXADataSource.getXAConnection()<\/code> 执行 SQL 语句<\/li>
调用 com.fr.third.springframework.util.SerializationUtils.deserialize<\/code> 方法<\/li>
进行反序列化操作，执行恶意 payload<\/li>
<\/ol>
完整利用条件<\/h2>
环境要求<\/h3>

目标系统使用 Guava 库（包含漏洞版本）<\/li>
存在 Jackson 库的 JSONArray<\/code> 类<\/li>
系统中包含 Druid 连接池相关类<\/li>
存在 Spring 框架的序列化工具类<\/li>
<\/ol>
技术前提<\/h3>

攻击者能够控制反序列化数据源<\/li>
目标系统存在相应的类路径依赖<\/li>
安全防护机制未阻止该特定利用链<\/li>
<\/ol>
防护建议<\/h2>
代码层面防护<\/h3>

对反序列化操作进行严格的白名单控制<\/li>
更新 Guava 库到已修复漏洞的版本<\/li>
对输入数据进行严格的验证和过滤<\/li>
<\/ol>
系统层面防护<\/h3>

使用安全管理器限制反序列化操作<\/li>
实施最小权限原则，减少攻击面<\/li>
定期进行安全审计和漏洞扫描<\/li>
<\/ol>
总结<\/h2>
该利用链巧妙地结合了多个流行框架的特性：<\/p>

利用 Guava 不可变集合的空值检查机制<\/li>
通过 Jackson 的字符串转换触发 getter 方法<\/li>
借助 Druid 连接池的 SQL 执行能力<\/li>
最终通过 Spring 的反序列化工具完成攻击<\/li>
<\/ul>
这种复杂的利用链表明，现代 Java 应用安全需要综合考虑各种组件之间的交互影响，实施纵深防御策略。<\/p>

ImmutableSetMultimap 反序列化利用链深入分析<\/h1>

概述<\/h2> 本文深入分析 Guava 库中 ImmutableSetMultimap<\/code> 类的反序列化利用链。该漏洞利用 Guava 不可变集合在反序列化过程中的空值检查机制，结合特定对象触发恶意代码执行。<\/p>

利用链构造过程<\/h2>

详细技术分析<\/h2>

恶意对象构造<\/h2>

完整利用条件<\/h2>

防护建议<\/h2>

概述<\/h2>
本文深入分析 Guava 库中 `ImmutableSetMultimap<\/code> 类的反序列化利用链。该漏洞利用 Guava 不可变集合在反序列化过程中的空值检查机制，结合特定对象触发恶意代码执行。<\/p>`