fastjson漏洞#不出网#原理#流量特征

最新推荐文章于 2025-03-24 22:45:05 发布

CongSec

最新推荐文章于 2025-03-24 22:45:05 发布

阅读量1.2k

点赞数 25

分类专栏： # HVV 网络空间安全文章标签：笔记 web安全

本文链接：https://blog.csdn.net/2301_80064376/article/details/146132528

版权

网络空间安全同时被 2 个专栏收录

48 篇文章

订阅专栏

HVV

3 篇文章

订阅专栏

原理

本质是java的反序列化漏洞，由于引进了自动检测类型的（autotype）功能，fastjson在对json字符串反序列化的时候，会读取@type内容，会试图将json内容反序列化成这个对象，并调用这个类的setter方法，那么攻击者就可以构造特定的json内容和通过@type来指定自己想要的内部库，从而导致远程命令的执行漏洞

流量特征

采用post方法，
发送数据包和返回包的数据类型为json类型
还有就是他的请求报文的花括号没闭合，请求包就会出现fastjson字段
响应包中有fastjson关键字
对于无回显的fastjson漏洞，其返回包中存在@type和dnslog平台网址
请求体可能含有攻击者c2服务器地址或者ladp协议，rmi协议的地址，还有就是，
返回包状态码一般为400，也可能为500
请求体中可能存在type，bytecodes，java.lang，返回包中含有commit = true

Fastjson不出网的利用与防护

利用

利用 TemplatesImpl 类
- TemplatesImpl 是最常见的利用类，因为它自带 bytecodes 字段，攻击者可以植入恶意字节码。
- 攻击无需额外依赖，只需要服务器环境支持 JDK。
利用 BasicDataSource 类
- 针对 Tomcat 环境下的应用，攻击者可以利用 org.apache.tomcat.dbcp.dbcp.BasicDataSource 或 org.apache.tomcat.dbcp.dbcp2.BasicDataSource 类。
- 攻击者构造恶意 JSON，指向 BasicDataSource 类，通过某些触发条件实现远程代码执行。
- 触发条件：
  - 需要目标应用运行在Tomcat环境中
  - 必须在 JSON 解析时启用 Feature.SupportNonPublicField 特性。
- Tomcat 版本要求：
  - Tomcat 8.0 之前：org.apache.tomcat.dbcp.dbcp.BasicDataSource
  - Tomcat 8.0 之后：org.apache.tomcat.dbcp.dbcp2.BasicDataSource

防护

使用Fastjson的黑名单功能：Fastjson提供了一个黑名单功能，可以用于禁止某些Java类的序列化和反序列化。通过设置一些敏感类的黑名单，禁止序列化和反序列化这些类，从而避免一些恶意攻击。

对Fastjson进行安全加固：对Fastjson进行安全加固可以避免恶意攻击。可以通过开启自动类型识别检查、限制反序列化对象的深度、限制反序列化对象的大小等措施，提高Fastjson的安全性。

使用其他JSON处理器： 如果对Fastjson存在疑虑或者担心其安全性问题，也可以考虑使用其他JSON处理器，比如Jackson、Gson等。这些处理器同样具有高性能和易用性，并且也可以进行安全加固。

漏洞产生的原因

由于@type字段的可控性，攻击者可以将@type字段设置为特定且服务端可以使用的类，从而执行恶意代码。具体原理如下：

@type字段的利用：在反序列化过程中，Fastjson会根据@type字段的值来确定反序列化后的Java对象的类型。
恶意类加载：攻击者可以指定一个特定的Java类，该类可以被利用来执行恶意代码。
JNDI注入：利用一些常见的Java类（如com.sun.rowset.JdbcRowSetImpl）来进行JNDI注入攻击，通过访问远程RMI或LDAP服务器来执行恶意代码。