转载

Fastjson <=1.2.47 远程代码执行漏洞分析

作者：icematcha@云影实验室

0x00前言

近日，Fastjson被传爆出新的“0day”，也引起了大家的高度关注。云影实验室第一时间进行了跟进和分析，通过分析我们发现，此次的漏洞并不算新的漏洞，其实官方早在去年五月就已经推出了相关补丁修复，但可能没有发布相关的安全通告，导致许多用户没有及时升级处理，而在此次护网中就谣传变成了现在的“0day”。

此次漏洞利用的核心点是java.lang.class这个java的基础类，在fastjson 1.2.48以前的版本没有做该类做任何限制，加上代码的一些逻辑缺陷，造成黑名单以及autotype的绕过。下面跟着代码看看这个类的具体应用。

0x01分析过程

Fastjson在开始解析json前会优先加载配置，在加载配置时会调用TypeUtils的addBaseClassMappings和loadClass方法将一些经常会用到的基础类和三方库存放到一个ConcurrentMap对象mappings中，类似于缓存机制。

Fastjson <=1.2.47 远程代码执行漏洞分析

配置加载完成后正式开始解析json数据，在ParserConfig.checkAutoType方法中对’@type’对应的value进行处理。fastjson在1.2.2+版本默认便不再开启autoType选项，且在调用解析函数时我们没有传入预期的反序列化对象的对应类名时，fastjson则通过从mappings中或者deserializers.findClass()方法来获取反序列化对象的对应类。

Fastjson <=1.2.47 远程代码执行漏洞分析

找到对应类后便返回，不再经过黑名单和autotype的检查流程。而java.lang.class该类恰好存在于deserializers对象的buckets属性中：

Fastjson <=1.2.47 远程代码执行漏洞分析

接着获取到java.lang.class对应的反序列化处理类MiscCodec：

Fastjson <=1.2.47 远程代码执行漏洞分析

在MiscCodec类中，java.lang.class拥有加载任意类到mappings中的功能。首先从输入的json串中解析获取val对应的键值：

Fastjson <=1.2.47 远程代码执行漏洞分析

获取后调用前面提到的TypeUtils. loadClass()方法对该键值进行类加载操作：

Fastjson <=1.2.47 远程代码执行漏洞分析

在TypeUtils. loadClass()中，我们就可以看到当cache参数为true时，将键值对应的类名放到了mappings中后返回：

Fastjson <=1.2.47 远程代码执行漏洞分析

Mappings是ConcurrentMap类的，顾名思义就是在当前连接会话生效。所以我们需要在一次连接会话同时传入两个json键值对时，此次连接未断开时，继续解析第二个json键值对。此时我们利用’@type’传入早已在黑名单中的com.sun.rowset.JdbcRowSetImpl类尝试jdni注入利用：

Fastjson <=1.2.47 远程代码执行漏洞分析