初探java安全之反射

java

什么是反射

反射机制在java中可以说是非常强大的,很多优秀的开源框架都是通过反射完成的。在java的运行状态中,对于任意一个类,都能够知道这个类的所有属性和方法,都能够调用它的任意一个方法和属性,这种动态获取的信息以及动态调用对象的方法的功能称为java语言的反射机制。下面介绍下基于反射技术的函数方法。

与反射相关的,其实主要就是几个关键的函数方法。可以先从这一段简单的代码看起

public void execute(String className, String methodName) throws Exception {

Class clazz = Class.forName(className);

clazz.getMethod(methodName).invoke(clazz.newInstance()); }

在这段代码里可以先看到几个与Java反射相关的重要方法。

forname()

当无法事先知道将加载什么类的时候,就可以用class的静态方法forname来实现动态加载类,例如例如上面的实例代码。

forname静态方法也有两个版本,如下:

public static Class<?> forName(String className)throws ClassNotFoundException

public static Class<?> forName(String name, boolean initialize,ClassLoader loader)throws ClassNotFoundException

第一个就是仅通过指定类名。

第二个可以指定类名称、是否初始化及指定类加载器。这里第二个参数中的的初始化指的是类的初始化,例如p神在圈子里给出的一个例子:

public class TrainPrint {

{

System.out.printf("Empty block initial %s\n", this.getClass());

}

static {

System.out.printf("Static initial %s\n", TrainPrint.class);

}

public TrainPrint() {

System.out.printf("Initial %s\n", this.getClass());

}

}

运行后就可发现,依次调用的顺序是:先static(),然后是{},最后是构造函数。 而值得注意的是,forname方法加载类时会自动初始化该类对象,也就是说,如果forname的参数可控,那么我们就可以构造对应的恶意类,在恶意类的static()内编写恶意代码,这样当forname()执行时就会执行我们的恶意代码。(关于恶意类要如何带入,这里暂不做深入)

拓展:forname()不是获取类的唯一途径,这里的“类”指的是java.lang.class对象,还可以通过getClass()来获取,区别就是getClass()是Object实例对象的方法,而forname是class类的静态方法。延伸扩展下,再举个栗子:

Person p = new Person("wpgsec",666);

该句话都做了什么事情?

1,因为new用到了Person.class.所以会先找到Person.class文件并加载到内存中。

2,执行该类中的static代码块,如果有的话,给Person.class类进行初始化。

3,在堆内存中开辟空间,分配内存地址。

4,在堆内存中建立对象的特有属性。并进行默认初始化。

5,对属性进行显示初始化。

6,对对象进行构造代码块初始化。

7,对对象进行对应的构造函数初始化。

8,将内存地址付给栈内存中的p变量。

这样看也就理解了为什么刚刚的代码是那样的运行顺序,以及对初始化的理解。

总结:forname方法就是用来加载获取类的。

newInstance()

此方法用来创建class对象表示的类的新实例。

那么newInstance()和new有什么区别呢,首先,newInstance()是一个方法,而new是一个关键字,另外,newInstance()的使用有局限,它生产的实例对象只能调用无参的构造函数,而且如果一个类的类构造函数是私有的话,newinstance()方法也是不能成功实例化的,这个在写漏洞利用方法的时候就会遇到,比如最常见的:

Class clazz = Class.forName("java.lang.Runtime");

clazz.getMethod("exec", String.class).invoke(clazz.newInstance(), "id");

运行后会发生这样的错误,

Exception in thread "main" java.lang.IllegalAccessException: Class cn.v1nt.test.main can not access a member of class java.lang.Runtime with modifiers "private"

也就是因为Runtime方法的构造函数是私有的,导致不能直接用newInstance()来实例化,所以只能通过Runtime.getRuntime()来获取Runtime对象。

修改后的payload:

Class clazz = Class.forName("java.lang.Runtime");

clazz.getMethod("exec",String.class).invoke(clazz.getMethod("getRuntime").invoke(clazz),"calc.exe");

总结:forname()会导致类被初始化,newinstace()才会实例化,而new()操作等于初始化+实例化。

getMethod()

Method Class.getMethod(String name, Class<?>... parameterTypes)的作用是获得对象所声明的公开方法,第一个参数是方法的名称,第二个参数是方法参数的对象。

例如一个person类中有个无形参的Speak方法,有个形参为String类型的run方法,则获取Speak方法为:

person.getMethod("Speak",null);//Speak方法没有形参,所以parameterTypes为null

获取run方法为:

person.getMethod("run",String.class)//如果对象内的方法的形参是int类型的,则parameterTypes是int.class

而在同个类中也有同方法名不同参数的情况,也就是类的重载,所以只有同时指定方法名和参数类型才能唯一确定一个方法,例如一个函数 int Test(int a, String str);对应的getMethod方法为getMethod("Test",int.class,String.class);

invoke()

invoke()是实现java反射的重要方法,通过动态的传入参数,来实现动态的调用,就比如上面的栗子:

clazz.getMethod("exec",String.class).invoke(clazz.getMethod("getRuntime").invoke(clazz),"calc.exe");

简单来说就是 method.invoke(class,参数),就可以实现调用class.method(参数),如果method这个方法是普通方法,那么第一个参数就是类对象,如果是静态方法,那第一个参数就是类。另外这里有点注意的就是,如果底层方法是静态的,就比如这里的getRuntime方法,那么可以忽略指定的参数,默认为null。

总结:getMethod()可以获取类的某个声明方法,而invoke()则可以去调用执行这个获取到的方法。

getConstructor()

如果一个类中没有无参构造方法,也没有静态的获取对象方法,换句话说,就是上面的提到的newinstance()和getMethod().invoke()都用不上了,那怎么继续通过反射来实例化指定的类呢?

getConstructor(Class<?>... parameterTypes)的作用是根据参数类型(可变参数)来获取公共的构造器Constructor[](public),通过这个方法获取到构造函数后,使用newInstance来执行就可以解决刚才的问题。

Class clazz = Class.forName("java.lang.ProcessBuilder");

clazz.getMethod("start").invoke(clazz.getConstructor(List.class).newInstance(Arrays.asList("calc.exe")));

其实也就是相当于:

Class clazz = Class.forName("java.lang.ProcessBuilder");

((ProcessBuilder)clazz.getConstructor(List.class).newInstance(Arrays.asList("calc.exe"))).start();

getDeclaredMethod()

public Method getDeclaredMethod(String name, Class... parameterTypes)

如果类的构造方法是私有的,比如上面的提到的Runtime类,除了利用Runtime类本身的静态方法getRuntime()来生成对象,还能用getDeclaredMethod方法。

getDeclaredMethod方法获取的是类自身声明的所有方法,包含public、protected和private方法。跟getMethod的区别是,getMethod方法获取的是类的所有共有方法,包括自身的所有public方法,和从基类继承的、从接口实现的所有public方法。

例如下面的例子,getDeclaredConstructor也是getDelareMethod系列方法,

Class clazz = Class.forName("java.lang.Runtime");

Constructor m = clazz.getDeclaredConstructor();

m.setAccessible(true);//改变作用域

clazz.getMethod("exec", String.class).invoke(m.newInstance(), "calc.exe");

总结

可能这些函数方法和知识点都比较基础,对java安全的学习系列也是刚刚开始,后面的文章会再慢慢深入扩展和补充。

Reference:

https://blog.csdn.net/huangliniqng/article/details/88554510

https://govuln.com/topic/924/

以上是 初探java安全之反射 的全部内容, 来源链接: utcz.com/z/394164.html

回到顶部