fastjson 1.2.24 反序列化导致任意命令执行漏洞复现

前言

fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，的作用就是把java对象转换为json形式，也可 以用来将json转换为java对象。

fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。

环境搭建

启动测试环境

sudo docker-compose up -d

环境运行后，访问http://your-ip:8090即可看到JSON格式的输出。

漏洞复现

因为目标环境是Java 8u102，没有com.sun.jndi.rmi.object.trustURLCodebase的限制，我们可以使用com.sun.rowset.JdbcRowSetImpl的利用链，借助JNDI注入来执行命令。

这是一个比较常用的攻击类com.sun.rowset.JdbcRow