基于混合分析的Java反序列化利用链挖掘方法.docx

### 基于混合分析的Java反序列化利用链挖掘方法 #### 一、引言与背景 2015年，Lawrence和Frohoff首次揭示了Java反序列化漏洞的存在及其潜在风险。此后不久，Breenmachine利用这一漏洞成功攻击了包括WebLogic、WebSphere、JBoss、Jenkins、OpenNMS在内的多个Java应用，进一步证实了这种攻击方式的有效性和危害性。此外，Fastjson、Jackson、Hessian、XStream等流行的第三方反序列化库也被发现存在反序列化漏洞，当处理攻击者可控的数据时，可能导致恶意代码被执行。 在利用Java反序列化漏洞时，攻击者通常需要构建一系列的代码片段，即“gadgets”，来形成所谓的“反序列化利用链”。通过这种方式，攻击者可以控制反序列化过程中的执行流程，最终实现执行任意代码的目标。因此，自动挖掘有效的反序列化利用链成为了研究的关键。 #### 二、Java反序列化的基本概念 序列化是将Java对象转换为可存储或传输的形式（如字节序列、JSON字符串或XML字符串），而反序列化则是这一过程的逆向操作。在许多应用场景中，如远程过程调用(RPC)或HTTP请求参数处理时，反序列化操作频繁出现。例如，客户端会将参数对象序列化为字节码并通过网络发送给服务器端，服务器端再将接收到的数据反序列化为原始对象，并进一步处理。 根据反序列化机制的不同，Java反序列化器可以大致分为两类：基于bean的反序列化器（如Fastjson和Jackson，通过调用setter方法设置属性值）和基于field的反序列化器（如JND、XStream、Hessian，通过反射直接对属性赋值）。不同的反序列化器机制使得寻找有效的gadgets以及构建利用链变得更为复杂。 #### 三、反序列化漏洞利用链的挖掘挑战 1. **对象类型与属性的不确定性**：在反序列化过程中，用户可以控制生成对象的类型及属性值。由于字段的实际类型可能是其声明类型的任意子类，这导致需要遍历所有可能的子类情况来确定被调用的函数，从而增加了搜索空间的复杂度。 2. **Java多态性的影响**：Java的多态特性意味着调用哪个方法通常是不确定的，必须通过复杂的指针分析来确定实际调用的方法。这种方法虽然准确，但计算成本高昂。 3. **庞大的代码库规模**：以Java 1.8.0_171为例，其包含约38,466个类和超过324,595个方法，如此庞大的代码量给自动化分析带来了极大的挑战。 #### 四、现有工具的局限性与改进方向 目前市面上存在一些工具，如Marshalsec和Ysoserial，它们主要用于生成已知的利用链payload，但缺乏自动化挖掘新利用链的能力。另外，像GadgetInspector这样的工具虽然提供了一定程度的gadget自动化搜索功能，但由于缺少必要的指针分析，其准确性和效率仍有待提高。 #### 五、基于混合分析的Java反序列化利用链挖掘方法 为了解决上述挑战，本文提出了一种基于混合分析的Java反序列化利用链挖掘方法，并设计实现了名为GadgetSearch的工具。该方法的主要特点在于： - **字节码级别的自动化分析**：通过对字节码进行深入分析，有效地解决了对象类型与属性的不确定性问题。 - **高效的指针分析技术**：结合动态分析与静态分析的优点，大幅减少了误报率和漏报率。 - **大规模代码库的支持**：借助先进的算法优化，即使面对庞大的代码库也能保持良好的性能。 #### 六、实验结果与贡献 实验结果显示，GadgetSearch相较于现有工具具有更低的误报率和漏报率，并成功挖掘出了多条未公开的反序列化利用链。其中包括1条Jackson未公开利用链、4条XStream未公开的JDK利用链和1条Hessian未公开的JDK利用链。这些发现已获得官方认可，分配了5个CVE编号（CVE-2021-39141、CVE-2021-39144、CVE-202139146、CVE-2021-39153、CVE-2021-43297）和1个CNVD编号（CNVD-2021-44381）。 #### 七、总结与展望 本研究提出了一种基于混合分析的Java反序列化利用链挖掘方法，并通过GadgetSearch工具的成功实现证明了该方法的有效性和实用性。未来的研究方向包括但不限于更高效地处理多态性问题、优化指针分析算法以支持更大的代码库，以及进一步提高自动化挖掘工具的准确性。