07jdk7u21原生利用链

JDK7u21

反序列化的关键

• 在于找到可以动态方法执行的代码：例如CC链中的Transformer，CB链中的PropertyUtils#getProperty
  

JDK7u21中动态方法执行的点，AnnotationInvocationHandler#equalsImpl中的hisValue = memberMethod.invoke(o)。

1. private Boolean equalsImpl(Object o) {
2.         if (o == this)
3.             return true;
5.         if (!type.isInstance(o))
6.             return false;
7.         for (Method memberMethod : getMemberMethods()) {
8.             String member = memberMethod.getName();
9.             Object ourValue = memberValues.get(member);
10.             Object hisValue = null;
11.             AnnotationInvocationHandler hisHandler = asOneOfUs(o);
12.             if (hisHandler != null) {
13.                 hisValue = hisHandler.memberValues.get(member);
14.             } else {
15.                 try {
16.                     hisValue = memberMethod.invoke(o);
17.                 } catch (InvocationTargetException e) {
18.                     return false;
19.                 } catch (IllegalAccessException e) {
20.                     throw new AssertionError(e);
21.                 }
22.             }
23.             if (!memberValueEquals(ourValue, hisValue))
24.                 return false;
25.         }
26.         return true;
27.     }
29. private Method[] getMemberMethods() {
30.         if (memberMethods == null) {
31.             memberMethods = AccessController.doPrivileged(
32.                 new PrivilegedAction<Method[]>() {
33.                     public Method[] run() {
34.                         final Method[] mm = type.getDeclaredMethods();
35.                         validateAnnotationMethods(mm);
36.                         AccessibleObject.setAccessible(mm, true);
37.                         return mm;
38.                     }
39.                 });
40.         }
41.         return memberMethods;
42.     }

复制代码

AnnotationInvocationHandler#equalsImpl是一个私有方法，仅在AnnotationInvocationHandler#invoke中被调用，它遍历执行了this.type的所有方法，如果这里的this.type为TemplatesImpl，那就可以实现任意代码执行。

1. public Object invoke(Object proxy, Method method, Object[] args) {
2.         String member = method.getName();
3.         Class<?>[] paramTypes = method.getParameterTypes();
5.         // Handle Object and Annotation methods
6.         if (member.equals("equals") && paramTypes.length == 1 &&
7.             paramTypes[0] == Object.class)
8.             return equalsImpl(args[0]);
9.         if (paramTypes.length != 0)
10.             throw new AssertionError("Too many parameters for an annotation method");
12.         switch(member) {
13.         case "toString":
14.             return toStringImpl();
15.         case "hashCode":
16.             return hashCodeImpl();
17.         case "annotationType":
18.             return type;
19.         }
21.         // Handle annotation member accessors
22.         Object result = memberValues.get(member);
24.         if (result == null)
25.             throw new IncompleteAnnotationException(type, member);
27.         if (result instanceof ExceptionProxy)
28.             throw ((ExceptionProxy) result).generateException();
30.         if (result.getClass().isArray() && Array.getLength(result) != 0)
31.             result = cloneArray(result);
33.         return result;
34.     }

复制代码

前面找到动态代码执行的关键后，构造链条的关键即在于如何调用equalsImpl和equalsImpl如何进行任意代码执行。
如何调用equalsImpl

由于AnnotationInvocationHandler实现了接口InvocationHandler，这里很明显可以采用CC1中用到的动态代理调用AnnotationInvocationHandler#invoke，但是注意到invoke的代码逻辑，我们代理的对象，必须是调用名为equals且只有一个Object类型的参数时，才会触发equalsImpl。
找到equals调用链

equals方法通常用于比较两个对象是否是同一引用，一个常见场景是集合set，集合是不允许重复对象的，所以在添加对象时势必涉及到比较操作。
[code]// HashSet#readObjectprivate void readObject(java.io.ObjectInputStream s)        throws java.io.IOException, ClassNotFoundException {        // Read in any hidden serialization magic        s.defaultReadObject();        // Read capacity and verify non-negative.        int capacity = s.readInt();        if (capacity < 0) {            throw new InvalidObjectException("Illegal capacity: " +                                             capacity);        }        // Read load factor and verify positive and non NaN.        float loadFactor = s.readFloat();        if (loadFactor