深入探索Java反序列化：CC2利用链原理与POC实现
内容提要
Java反序列化中的CC2链利用Apache Commons Collections库，通过PriorityQueue的反序列化触发恶意代码执行。攻击者构造恶意类，利用TemplatesImpl、InvokerTransformer和TransformingComparator，通过反射机制在反序列化时执行任意命令。
关键要点
-
Java反序列化中的CC2链利用Apache Commons Collections库。
-
CC2链通过PriorityQueue的反序列化触发排序，执行恶意代码。
-
TemplatesImpl类用于承载并加载恶意字节码。
-
InvokerTransformer通过反射机制动态调用TemplatesImpl的newTransformer()方法。
-
TransformingComparator在排序比较时调用其内部Transformer的transform()方法。
-
PriorityQueue的readObject()方法在反序列化时进行堆排序，触发后续比较器链条。
-
攻击者需要构造恶意类并利用反射机制执行任意命令。
-
反序列化漏洞利用的关键在于满足特定条件以触发恶意代码执行。
-
最终通过反序列化恶意构造的PriorityQueue对象执行恶意代码。
延伸问答
什么是Java反序列化中的CC2链？
CC2链是基于Apache Commons Collections库的反序列化漏洞利用链，通过PriorityQueue的反序列化触发恶意代码执行。
CC2链是如何利用PriorityQueue进行攻击的？
CC2链通过PriorityQueue的readObject()方法进行堆排序，触发TransformingComparator的compare()方法，从而执行恶意代码。
在CC2链中，TemplatesImpl类的作用是什么？
TemplatesImpl类用于承载并加载恶意字节码，最终执行其中的代码。
InvokerTransformer在CC2链中起什么作用？
InvokerTransformer通过反射机制动态调用TemplatesImpl的newTransformer()方法，触发恶意类加载。
反序列化漏洞利用的关键条件有哪些？
关键条件包括_name不能为null、_tfactory不能为null、_bytecodes不能为null等。
如何构造一个恶意的PriorityQueue对象？
通过设置比较器为TransformingComparator，并将包含恶意TemplatesImpl对象的元素放入队列中，最后设置size字段为2。
