【网络安全】利用Fastjson注入Spring内存马

此篇文章在于记录自己对spring内存马的实验研究【点击查看→资料】

一、环境搭建

搭建漏洞环境，利用fastjson反序列化，通过JNDI下载恶意的class文件，触发恶意类的构造函数中代码，注入controller内存马。

1）组件版本：

fastjson: 1.2.24

spring-mvc: 4.3.28.RELEASE

JDK: 8u121

2）搭建springMVC+fastjson漏洞环境

可以参考网上的入门文章进行搭建，这里我放出我自己环境的配置文件

web.xml

<servlet>
    <servlet-name>SpringMVC</servlet-name>
    <servlet-class>org.springframework.web.servlet.DispatcherServlet</servlet-class>
    <!--配置springmvc.xml的路径-->
    <init-param>
      <param-name>contextConfigLocation</param-name>
      <param-value>classpath:springmvc.xml</param-value>
    </init-param>
  </servlet>
  <servlet-mapping>
    <servlet-name>SpringMVC</servlet-name>
    <url-pattern>/</url-pattern>
  </servlet-mapping>
</web-app>

springmvc.xml

<!--将AnnotationHandler自动扫描到IOC容器中-->
    <context:component-scan base-package="test.controller"></context:component-scan>

    <mvc:annotation-driven/>

    <!--配置视图解析器-->
    <bean class="org.springframework.web.servlet.view.InternalResourceViewResolver">
        <!--配置前缀-->
        <property name="prefix" value="/"></property>
        <!--配置后缀-->
        <property name="suffix" value=".jsp"></property>
    </bean>

</beans>

HelloController

@Controller
public class HelloController {
   
    @ResponseBody
    @RequestMapping(value = "/hello", method = RequestMethod.POST)
    public Object hello(@RequestParam("code")String code) throws Exception {
   
        System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
        System.out.println(code);
        Object object = JSON.parse(code);
        return code + "->JSON.parseObject()->" + object;
    }
}

pom.xml

<dependency>
  <groupId>com.alibaba</groupId>
  <artifactId>fastjson</artifactId>
  <version>1.2.24</version>
</dependency>

<dependency>
  <groupId>junit</groupId>
  <artifactId>junit</artifactId>
  <version>4.11</version>
  <scope>test</scope>
</dependency>
<!--SpringMVC依赖-->
<dependency>
  <groupId>org.springframework</groupId>
  <artifactId>spring-webmvc</artifactId>
  <version>4.3.28.RELEASE</version>
</dependency>

二、动态注册controller

在springMVC中，也可以在服务器程序启动后，利用某种方式实现动态加载controller。

1）获取上下文
在LandGrey文章中介绍了四种方法，分别是【网络安全学习资料】

方式一：getCurrentWebApplicationContext

WebApplicationContext context = ContextLoader.getCurrentWebApplicationContext();

方法二：WebApplicationContextUtils

WebApplicationContext context = WebApplicationContextUtils.getWebApplicationContext(RequestContextUtils.getWebApplicationContext(((ServletRequestAttributes)RequestContextHolder.currentRequestAttributes()).getRequest()).getServletContext(