“Java 安全” 学习笔记 - 1

11/11/2020 阅读自：p牛 “Java 安全漫谈 - 01.反射篇(1)”

反射是大多数语言必不可少的部分，对象可通过反射获取其他的类，类可以通过反射拿到所有的方法（包括私有），拿到的方法可以调用。通过反射可以将 Java 这种静态语言附加动态特性。

理解动态特性：一段代码，改变其中的变量，将会导致这段代码产生功能性的变化。

public void execute(String className, String methodName) throws Exception {
  Class clazz = Class.forName(className);
  clazz.getMethod(methodName).invoke(clazz.newInstance());
}

• 获取类的方法：forName

• 实例化对象的方法：newInstance

• 获取函数的方法：getMethod

• 执行函数的方法：invoke

获取“类”的三个方法

• obj.getClass()：如果上下文存在某个类的实例 obj 那么我么可以直接通过 obj.getClass() 来获取它的类
• Test.class：如果你已经加载了某个类，只是想获取到它的 java.lang.Class 对象，那么就直接拿它的 class 属性即可。这个方法其实不属于反射
• Class.forName：如果你知道某个类的名字，想获取到这个类，就可以使用 forName 来获取

//两个重载函数
//className表示类名，第二个参数表示是否初始化，第三个参数就是ClassLoader（就是一个”加载器“，告诉JAVA虚拟机如何加载这个类，默认的ClassLoader就是根据类名来加载类，这个类名是类完整路径）

Class forName(String name)
Class forName(String name, **boolean** initialize, ClassLoader loader)

初始化可以理解为类的初始化

image.png

static {} 是类初始化的时候调用，{} 中的代码会放在构造函数的 super() 后面，但在当前构造函数内容的前面。

一个简单的反射例子

如果存在一个函数ref如下，且name可控，那么我们可以构造一个恶意类进行调用执行

//A.java
import static java.lang.Class.forName;

public class A {
    public void ref(String name) throws Exception{
        Class.forName(name);
    }

    public static void main(String[] args) throws Exception {
        A a = new A();
        a.ref("TouchFile");
    }
}

//TouchFile.java
public class TouchFile {
    static {
        try{
            System.out.println("this is `TouchFIle`");
            Runtime rt = Runtime.getRuntime();
            String[] commands = {"touch", "/tmp/success"};
            Process pc = rt.exec(commands);
            pc.waitFor();
        } catch (Exception e){
            System.out.println(e.getMessage());
        }
    }
}

image.png

image.png