JavaJDBC导致的反序列化攻击原理解析-创新互联

这篇文章主要介绍了Java JDBC导致的反序列化攻击原理解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下

背景

上周BlackHat Europe 2019的议题《New Exploit Technique In Java Deserialization Attack》中提到了一个通过注入JDBC URL实现反序列化攻击的场景，简单分析一下。

分析

首先，当java应用使用MySQL Connector/J（官方的JDBC驱动，本文基于其8.0+版本）连接mysql时，JDBC URL的格式如下：protocol//[hosts]/[database]?properties，具体可看mysql官方文档，示例：jdbc:mysql://localhost:3306/test?useSSL=true

其中，protocol、host、database都比较好理解，URL中的properties可以设定MySQL Connector/J连接mysql服务器的具体方式，关于properties的官方文档地址，其中和本文相关的连接属性有两个，分别是autoDeserialize和queryInterceptors，前者是设定MySQL Connector/J是否反序列化BLOB类型的数据，后者是拦截器，在查询执行时触发，由com.mysql.cj.protocol.a.NativeProtocol#sendQueryPacket方法源码可知，会在执行查询语句前后分别调用拦截器的preProcess和postProcess方法。

接下来定位下反序列化的触发点，在mysql-connector-java组件下全局搜索关键字“.readObject()”，定位到com.mysql.cj.jdbc.result.ResultSetImpl类中的getObject(int columnIndex)方法，部分核心代码如下：

public Object getObject(int columnIndex) throws SQLException {
……
case BLOB:
 byte[] data = getBytes(columnIndex);
 if (this.connection.getPropertySet().getBooleanProperty(PropertyDefinitions.PNAME_autoDeserialize).getValue()) {
   Object obj = data;
   // Serialized object?
   try {
    ByteArrayInputStream bytesIn = new ByteArrayInputStream(data);
    ObjectInputStream objIn = new ObjectInputStream(bytesIn);
    obj = objIn.readObject();
   }
 }
}

另外有需要云服务器可以了解下创新互联建站www.cdcxhl.com，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。