理解RMI、JRMP、JNDI、java反射

素颜马尾好姑娘i 2023-01-13 04:05 139阅读 0赞

### 文章目录 ###

*  1. RMI
 *   *  1. 什么是RMI
     *  2. RMI注册表服务
     *  3. 调用远程对象的条件
     *  4. 动态加载类
     *  5. JRMP
 *  2. JNDI
 *   *  1. 简单的例子
     *  2. 利用reference进行JNDI注入的原理
 *  3. java反射机制
 *   *  1. 反射机制示例代码
     *  2. 反射常用api
     *   *  2.1 获取Class对象
         *  2.2 通过反射建立Class对象的实例
         *  2.3 通过反射获取类的变量
 *  4. 其他补充
 *  参考文章

# 1. RMI #

## 1. 什么是RMI ##

`RMI是一种java的远程方法调用机制`，全名为远程方法调用，大概通信逻辑如下图所示：

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

从逻辑上来看，数据是在Client和Server之间横向流动的，但是实际上是从Client到Stub，然后从Skeleton到Server这样纵向流动的。

1.  Server端监听一个端口，这个端口是JVM随机选择的；
2.  Client端并不知道Server远程对象的通信地址和端口，但是Stub中包含了这些信息，并封装了底层网络操作；
3.  Client端可以调用Stub上的方法；
4.  Stub连接到Server端监听的通信端口并提交参数；
5.  远程Server端上执行具体的方法，并返回结果给Stub；
6.  Stub返回执行结果给Client端，从Client看来就好像是Stub在本地执行了这个方法一样；

`整个过程中的数据都是以字节序列的方式传递的，也就是最终一定会经过反序列化。`

--------------------

`客户端会下载对应对象的Stub，并通过这个Stub与服务端的Skeleton进行通信。`

我们可以理解成Stub是客户端的代理，Skeleton是服务端的代理，我们需要调用远程主机什么对象的什么方法告诉Stub，它再告诉Skeleton，Skeleton告诉服务端去调用对应对象的方法然后获取返回值并将数据按原路返回给客户端。每种不同的对象都有一组不同的Stub跟Skeleton。

`这时候问题来了，我们怎么知道我们想访问对象的Stub是什么呢？`

这时候就出现了RMI注册表服务。

## 2. RMI注册表服务 ##

JDK提供了一个`RMI.Registry`包来解决获取对应对象Stub的问题。包中有类可以创建一个RMI注册表服务，这个服务一般开启在1099端口，客户端可以通过与服务器的1099端口进行通信来获得自己想访问的对象的Stub信息。

RMI注册表服务的工作逻辑：

1.  开启注册表服务
2.  将对象注册到服务上，并分配给其Stub一个随机的或者指定的端口号。
3.  等待客户端查询。
4.  将查询结果也就是对应对象的Stub的端口号返回给客户端来让`客户端下载`。
5.  客户端使用`下载的Stub`与服务端的Skeleton进行通信。

## 3. 调用远程对象的条件 ##

`客户端本地必须有远程对象的接口`，不然无法指定要调用的方法，而且其全限定名必须与服务器上的对象完全相同。

说的简单一点就是，如果本地需要调用远程点对象，那么本地首先得声明一下这个远程对象以及需要调用的方法，但不需要写对象细节或者方法细节，有个名字就行，或者说写一个接口就行。

`那如果我们突然需要调用一个远程对象，但是本地又没写接口，这时候怎么实现调用呢？`  
这时候就要依赖RMI中的一个重要的特性，动态加载类。

## 4. 动态加载类 ##

动态加载类这个技术就是为了实现，当本地没有定义远程对象所对应的类的时候，还能对远程对象进行调用。

具体实现逻辑为：

1.  客户端使用lookup函数访问一个本地不存在对应类的远程对象
2.  服务端会返回一个reference对象，对象中会指定一个远程类让其去下载
3.  客户端下载远程类并实例化，并且调用远程类的`getObjectInstance`函数获取外部远程对象实例。

综上，如果我们可以控制lookup函数的值，那么让其访问一个我们自己的恶意rmi服务器，让其下载我们构造的恶意class文件并实例话，即可实现任意代码执行。

`这个概念比较重要，JNDI注入的利用方法中也借助了动态加载类的思路。`

## 5. JRMP ##

这是一个`协议`，用来定义RMI这行为过程中数据传输的规范。

RMI涉及到两个端，一个是调用端，一个是被调用端，他们之间会有数据传输，JRMP协议就是对这种形式的数据传输进行规范定义的。

# 2. JNDI #

可以简单的理解为，JNDI是一个接口，是一种获取Stub的技术。

JNDI底层支持RMI远程对象，RMI注册的服务可以通过JNDI接口来访问和调用。简单来说，JNDI (Java Naming and Directory Interface) 是一组应用程序接口，它为开发人员查找和访问各种资源提供了统一的通用接口，可以用来定位用户、网络、机器、对象和服务等各种资源。比如可以利用JNDI在局域网上定位一台打印机，也可以用JNDI来定位数据库服务或一个远程Java对象。JNDI底层支持RMI远程对象，RMI注册的服务可以通过JNDI接口来访问和调用。

JNDI支持多种命名和目录提供程序（Naming and Directory Providers），RMI注册表服务提供程序（RMI Registry Service Provider）允许通过JNDI应用接口对RMI中注册的远程对象进行访问操作。将RMI服务绑定到JNDI的一个好处是更加透明、统一和松散耦合，RMI客户端直接通过URL来定位一个远程对象，而且该RMI服务可以和包含人员，组织和网络资源等信息的企业目录链接在一起。

## 1. 简单的例子 ##

下面代码就会去访问rmi://kingx\_kali:8080/test并下载test的stub。

Hashtable env = new Hashtable();
    env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.rmi.registry.RegistryContextFactory");
    //com.sun.jndi.rmi.registry.RegistryContextFactory 是RMI Registry Service Provider对应的Factory
    env.put(Context.PROVIDER_URL, "rmi://kingx_kali:8080");
    Context ctx = new InitialContext(env);
    Object local_obj = ctx.lookup("rmi://kingx_kali:8080/test");

如果代码中的lookup函数的参数部分被我们可控，我们就可以将其换成我们的rmi服务器，然后让其下载我们的恶意类并实例化。

## 2. 利用reference进行JNDI注入的原理 ##

在JNDI服务中，RMI服务端除了直接绑定远程对象之外，还可以通过References类来绑定一个外部的远程对象（当前名称目录系统之外的对象）。

简单点说，服务端可以预先设置，当客户端访问某个对象的时候，让客户端去远程下载一个类并且实例话成它本想要的那个对象，这个过程服务端会用到reference函数来设置让客户端去哪里下载。客户端使用lookup函数去确定他要找的对象名是什么或者它要找的rmi服务器是什么。

如果我们能控制客户端的lookup函数的参数，即可实现攻击。

受害目标扮演的相当于是JNDI客户端的角色，攻击者通过搭建一个恶意的RMI服务端来实施攻击。

核心点在于控制lookup函数的参数。

# 3. java反射机制 #

我对反射的理解是，在程序运行的过程中，直接调用某个类的class文件，然后调用其中的函数，使用另一种方法来代替new实例的截断。

获取class文件的方式：  
第一种：

Apple test = new Apple();
    Class<?> cla_test = test.getClass();

第二种：  
forName中填写的应该是目标class的路径

Class<?> clz = Class.forName("Apple"); //获取Class

## 1. 反射机制示例代码 ##

import java.lang.reflect.Constructor;
    import java.lang.reflect.Method;
    
    public class Apple { 
    
        private int price;
    
        public int getPrice() { 
            return price;
        }
    
        public void setPrice(int price) { 
            this.price = price;
        }
    
        public static void main(String[] args) throws Exception{ 
            //正常的调用
            Apple apple = new Apple();
            apple.setPrice(5);
            System.out.println("Apple Price:" + apple.getPrice());
    
            //使用反射创建实例
            Class<?> clz = Class.forName("Apple"); //获取Class
            // Class<?> clz = apple.getClass();
            Constructor<?> appleConstructor = clz.getConstructor(); //根据Class创建Constructor对象
            Object appleObj = appleConstructor.newInstance(); //创建Class对应的实例
            //调用方法
            Method setPriceMethod = clz.getMethod("setPrice", int.class); //获取类中返回值为int的setPrice方法并重命名为setPriceMethod
            setPriceMethod.invoke(appleObj, 14);//调用
            Method getPriceMethod = clz.getMethod("getPrice");//获取类中返回值为void的setPrice方法并重命名为setPriceMethod
            System.out.println("Apple Price:" + getPriceMethod.invoke(appleObj));//调用
        }
    }

## 2. 反射常用api ##

### 2.1 获取Class对象 ###

建议使用第二种方法，比较严谨。

//方法1
    Class<?> clz = Apple.class;
    //方法2
    Class<?> clz = Class.forName("Apple"); 
    //方法3
    Apple apple = new Apple();
    Class<?> clz = apple.getClass();

### 2.2 通过反射建立Class对象的实例 ###

方法1:默认只能触发类的无参数构造函数

Class<?> clz = Class.forName("Apple"); 
    Apple apple = (Apple)clz.newInstance();

方法2:优势在于可以给类的构造函数传参数

Class clz = Apple.class;
    Constructor<?> appleConstructor = clz.getConstructor(int.class);
    Apple appleObj = appleConstructor.newInstance(1); //Apple可以用object代替

参考文章：[大白话说Java反射：入门、使用、原理][Java]

> getDeclaredConstructor(Class<?>… parameterTypes)  
> 这个方法会返回指定参数类型的所有构造器，包括public的和非public的，当然也包括private的。  
> getDeclaredConstructors()的返回结果就没有参数类型的过滤了。

> getConstructor(Class<?>… parameterTypes)  
> 这个方法返回指定参数类型访问权限是public的构造器。  
> getConstructors()的返回结果同样也没有参数类型的过滤。

### 2.3 通过反射获取类的变量 ###

import java.lang.reflect.Constructor;
    import java.lang.reflect.Field;
    import java.lang.reflect.Method;
    
    public class Apple { 
    
        private int price;
        public int var = 1;
    
        public Apple(int st)
            { 
            System.out.println("构造函数被调用"+st);
            }
    
        public int getPrice() { 
            return price;
        }
    
        public void setPrice(int price) { 
            this.price = price;
        }
    
        public static void main(String[] args) throws Exception{ 
            Class clz = Apple.class;
            Field[] fields = clz.getFields(); //只能获取public属性的值
            for (Field field : fields) { 
                System.out.println(field.getName());
            }
        }
    }

在上述代码中，使用getFields函数，只能获取public属性的参数，而将其换成getDeclaredFields函数后即可获取所有参数包括private属性的值。

> 与获取类属性一样，当我们去获取类方法、类构造器时，如果要获取私有方法或私有构造器，则必须使用有 declared 关键字的方法。

# 4. 其他补充 #

1.  一个类如果想被远程传输，必须继承UnicastRemoteObject。只有这样才能被注册到RMI注册表服务上。
2.  客户端本地必须有远程对象的接口，不然无法指定要调用的方法，而且其全限定名必须与服务器上的对象完全相同
3.  java反射的时候，有一个`setAccessible`函数，当其值为 true 则指示反射的对象在使用时应该取消 Java 语言访问检查。  
    ![在这里插入图片描述][2021041911255463.png]

# 参考文章 #

[深入理解JNDI注入与Java反序列化漏洞利用][JNDI_Java]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221022/fe55ad83023f4007a4eaf8804a8ea097.png
[Java]: https://www.cnblogs.com/chanshuyi/p/head_first_of_reflection.html
[2021041911255463.png]: /images/20221022/43cce1671813471d8064442c7f862ebe.png
[JNDI_Java]: https://kingx.me/Exploit-Java-Deserialization-with-RMI.html