mysql漏洞如何打补丁_Jackson存在致命漏洞，可导致服务器文件被恶意窃取

上周升级完Fastjson之后，准备去了解下Jackson是否也有相关的漏洞。

果不其然，看到了一个issue

虽然这个issue是好几个月前的了，但是可能大家对Jackson比较不在意，以为国外的开源要牛逼一点，不会像Fastjson那么多问题，这里要纠正一点，fastjson之所以问题多，那是因为你接触的多，Jackson的问题其实也不少，只是你接触的少。

就拿这种issue的问题来说，这个漏洞也很严重，攻击者可以通过构造特殊的字符串，然后在特定条件下可以悄无声息的窃取你服务器上的文件数据。

可怕不？但是恐怕知道的人不多，很多服务还是依赖着低版本的Jackson，也没升级。

解释下到底是什么漏洞，这么危险！

如果服务中依赖了 Jackson 2.9.9 之前的版本，且同时依赖了mysql-connector-java，那么这个服务所在机器上的文件，就可能被任意窃取。

下面是具体原理分析。

先看下Json序列化对多态性的处理方式

序列化之后

序列化后类型消失，反序列化时因为Pet是抽象类，不知道该创建哪一个子类的对象。

但是Jackson提供了Default Typing，在开启的时候，可以序列化出更具体的类型。

得到的结果：

所以，Jackson在开启Default Typing特性之后，就可以初始化一个具体的实例。

这个讲完之后，我们看下漏洞的最终元凶，MySQL的一个特殊用法：支持使用LOAD DATA LOCAL INFILE这样的语法，只要客户端连上某个MySQL服务，就可以把客户端本地文件的数据插入到这个MySQL的某个表中。

大概过程是这样的：

• 用户在客户端输入：load data local infile "/data.csv" into table test;
• 客户端=>服务端：我想把我本地的/data.csv文件插入到test表中;
• 服务端=>客户端：把你本地的/data.csv发给我；
• 客户端=>服务端：/data.csv文件的内容；

这里有一个问题，客户端发送哪个文件的内容，取决于第3步，如果服务端是个恶意的MySQL服务，那么他可以读取客户端的任意文件，比如读取/etc/passwd：

• 用户在客户端输入：load data local infile "/data.csv" into table test;
• 客户端=>服务端：我想把我本地的/data.csv文件插入到test表中;
• 服务端=>客户端：把你本地的/etc/passwd发给我；
• 客户端=>服务端：/etc/passwd文件的内容；

然后密码文件的内容就这样被嫖了。

引用MySQL官方文档如下：

In theory, a patched server could be built that would tell the client program to transfer a file of the server's choosing rather than the file named by the client in the LOAD DATA statement.

理论上，可以构建一个伪装服务器，它将告诉客户端传送一个服务指定的而不是通过客户端LOAD DATA语句指定的文件，意味着，我要什么，你就得给我什么，所以所有文件都可能泄露。

具体如何让服务中的MySQL客户端可以听我指挥，连到我预谋已久的MySQL服务呢？

首先，在MySQL的JDBC驱动中有一个创建连接的配置 allowLoadLocalInfile，控制是否可以从本地读取文件，默认是可以的。

另外，不知道从哪个版本开始，MySQL的JDBC驱动多了一个类 com.mysql.cj.jdbc.admin.MiniAdmin，可能没什么人用过，平时也用不到，但是它的牛逼之处在于可以创建一个到执行URL的JDBC连接。

想想，如果这个URL是我的那个伪装的MySQL服务，是不是就可以控制这个客户端轻松练上来，然后做一些不为人知的事情了。

事实上，确实可以。通过Jackson的反序列化特殊字符串，可以触发MiniAdmin的初始化，然后就在构造方法里创建一个到指定我MySQL服务的JDBC连接。

我们动手创建一个恶意的MySQL服务，可以使用 https://github.com/Gifts/Rogue-MySql-Server，这个服务会读取客户端文件，并写入到mysql.log中。

启动服务，假设服务地址为：X.X.X.X.

端口号和文件号在Rogue-MySql-Server中定好了，在客户端中执行如上代码，机器上的c:windowswin.ini文件内容就会出现在mysql.log中。

在实际的生产环境中，可以通过往一些接受JSON参数的接口发送恶意的JSON字符串来达成攻击的目的。

在MySQL方面，从8.0.15开始已经将allowLoadLocalInfile默认值设置为false。

在Jackson方面，从2.9.9版本开始，将 com.mysql.cj.jdbc.admin.MiniAdmin加入反序列化黑名单

怎么保护自己的系统

1、反序列化的坑，很大！需要尽量避免使用Object对象作为Jackson反序列化的目标。

2、序列化工具，该升级的要升级，不能拖！