Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 05:03:35 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/deserialization/basic-java-deserialization-objectinputstream-readobject.md
Translator workflow 75e8745ba3 Translated to Hindi
2023-11-06 08:38:02 +00:00

9.3 KiB
Raw Blame History

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

इस पोस्ट में, एक उदाहरण का उपयोग करके java.io.Serializable का उपयोग करने का वर्णन किया जाएगा।

Serializable

जावा Serializable इंटरफेस (java.io.Serializable) एक मार्कर इंटरफेस है जिसे आपकी कक्षाएं अगर वे सीरीयलाइज़ की जाएं और डीसीरीयलाइज़ की जाएं तो उन्हें लागू करनी होगी। जावा ऑब्जेक्ट सीरीयलाइज़ करना (लिखना) ObjectOutputStream के साथ किया जाता है और डीसीरीयलाइज़ करना (पढ़ना) ObjectInputStream के साथ किया जाता है।

चलो एक कक्षा व्यक्ति के साथ एक उदाहरण देखते हैं जो सीरीयलाइज़ करने योग्य है। इस कक्षा में, कक्षा व्यक्ति की readObject फ़ंक्शन को अधिलेखित किया गया है, इसलिए जब भी इस कक्षा के किसी भी ऑब्जेक्ट को डीसीरीयलाइज़ किया जाता है, तो यह फ़ंक्शन चलाई जाएगी।
उदाहरण में, कक्षा व्यक्ति की readObject फ़ंक्शन उसके पालतू जानवर की eat() फ़ंक्शन को बुलाती है और एक कुत्ते की eat() फ़ंक्शन (किसी कारण से) एक calc.exe को बुलाती है। हम देखेंगे कि कैसे एक Person ऑब्जेक्ट को सीरीयलाइज़ और डीसीरीयलाइज़ करके इस कैलकुलेटर को चलाया जाता है:

import java.io.Serializable;
import java.io.*;

public class TestDeserialization {
interface Animal {
public void eat();
}
//Class must implements Serializable to be serializable
public static class Cat implements Animal,Serializable {
@Override
public void eat() {
System.out.println("cat eat fish");
}
}
//Class must implements Serializable to be serializable
public static class Dog implements Animal,Serializable {
@Override
public void eat() {
try {
Runtime.getRuntime().exec("calc");
} catch (IOException e) {
e.printStackTrace();
}
System.out.println("dog eat bone");
}
}
//Class must implements Serializable to be serializable
public static class Person implements Serializable {
private Animal pet;
public Person(Animal pet){
this.pet = pet;
}
//readObject implementation, will call the readObject from ObjectInputStream  and then call pet.eat()
private void readObject(java.io.ObjectInputStream stream)
throws IOException, ClassNotFoundException {
pet = (Animal) stream.readObject();
pet.eat();
}
}
public static void GeneratePayload(Object instance, String file)
throws Exception {
//Serialize the constructed payload and write it to the file
File f = new File(file);
ObjectOutputStream out = new ObjectOutputStream(new FileOutputStream(f));
out.writeObject(instance);
out.flush();
out.close();
}
public static void payloadTest(String file) throws Exception {
//Read the written payload and deserialize it
ObjectInputStream in = new ObjectInputStream(new FileInputStream(file));
Object obj = in.readObject();
System.out.println(obj);
in.close();
}
public static void main(String[] args) throws Exception {
// Example to call Person with a Dog
Animal animal = new Dog();
Person person = new Person(animal);
GeneratePayload(person,"test.ser");
payloadTest("test.ser");
// Example to call Person with a Cat
//Animal animal = new Cat();
//Person person = new Person(animal);
//GeneratePayload(person,"test.ser");
//payloadTest("test.ser");
}
}

यह उदाहरण https://medium.com/@knownsec404team/java-deserialization-tool-gadgetinspector-first-glimpse-74e99e493649 से लिया गया है।

निष्कर्ष

जैसा कि आप इस बहुत ही मूलभूत उदाहरण में देख सकते हैं, यहां "सुरक्षा कमजोरी" इसलिए होती है क्योंकि readObject फ़ंक्शन अन्य सुरक्षा कमजोर फ़ंक्शनों को कॉल कर रहा है।

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥