JNDI 如何做 Hook

约 742 字大约 2 分钟

2025-11-02

1. 使用 Java Agent 动态修改字节码

这是最强大和最通用的 Hook 方法。Java Agent 可以在不修改源代码的情况下，在 JVM 运行时动态地修改类的字节码

原理：创建一个 Java Agent，并在 JVM 启动时通过 -javaagent 参数加载它。在 Agent 的 premain 或 agentmain 方法中，你可以使用 ASM、Javassist 或 Byte Buddy 等字节码操作库，找到 InitialContext.lookup(name) 所在的类和方法
Hook 实现：找到目标方法后，可以修改它的字节码，在其原始逻辑执行前或执行后插入你自己的代码
- 插入安全检查：在 lookup 方法的开头，插入一段代码来检查传入的 URL。你可以判断 URL 是否符合预设的白名单，或者直接拒绝所有远程 JNDI 请求
- 记录日志：将 lookup 方法的参数和调用堆栈记录下来，以便进行审计
- 修改返回对象：如果 URL 被判定为恶意，你可以修改 lookup 方法的返回值为一个安全的对象，而不是让其继续进行远程查找
优点：非常灵活，可以 Hook 任何类的任何方法，无需访问源代码
缺点：需要深入理解 Java 字节码，且实现起来比较复杂。

2. 使用动态代理

动态代理是一种更高级的 Hook 方法，它通过 Java 的反射机制来创建接口的代理对象

原理：如果你知道应用程序使用的是某个 JNDI 接口（例如 Context），你可以创建一个代理对象，这个代理对象会实现相同的接口，并在所有方法调用时，将调用转发给你自己的处理逻辑
Hook 实现：
1. 找到应用程序创建 InitialContext 的地方
2. 用你自己的代理类替换 InitialContext 的实例
3. 在代理类中，拦截 lookup(name) 方法的调用
4. 在 lookup 方法的实现中，你可以先执行安全检查，然后再决定是否调用原始的 InitialContext.lookup(name)
优点：不需要字节码操作，相对简单
缺点：只能 Hook 接口，对于没有实现接口的类不起作用。此外，需要修改应用程序的某些部分来插入代理，不像 Java Agent 那样完全透明

3. 修改 JVM 参数

这是最简单的 Hook 方法，但功能也最有限

原理：一些 JVM 实现了特殊的参数来控制 JNDI 的行为。例如，在一些版本的 Java 中，可以通过设置 com.sun.jndi.rmi.object.trustURLCodebase=false 来阻止 RMI 客户端加载远程对象
Hook 实现：只需在 JVM 启动命令中添加这些参数即可
优点：非常简单，无需编写代码
缺点：依赖于特定的 JVM 版本和参数，无法进行细粒度的控制，也不能用于日志记录等目的

版权所有