搜索

[16060] 2020-11-07_Fastjson小于1.2.68版本反序列化漏洞分析

文档创建者：s7ckTeam
浏览次数：41
最后更新：2025-01-18
2020-11-07_Fastjson小于1.2.68版本反序列化漏洞分析 F a s t j s o n 小 于 1 . 2 . 6 8 版 本 反 序 列 化 漏 洞 分 析 a l e _ w o n g   F r e e B u f   2 0 2 0 - 1 1 - 0 7 前 言 前 言 迟 到 的 F a s t j s o n 反 序 列 化 漏 洞 分 析 ， 按 照 国 际 惯 例 这 次 依 旧 没 有 放 p o c 。 道 理 还 是 那 个 道 理 ， 但 利 用 方 式 多 种 多 样 。 除 了 之 前 放 出 来 用 于 文 件 读 写 的 利 用 方 式 以 外 其 实 还 可 以 用 于 S S R F 。 一 、 漏 洞 概 述 一 、 漏 洞 概 述 在 之 前 其 他 大 佬 文 章 中 ， 我 们 可 以 看 到 的 利 用 方 式 为 通 过 清 空 指 定 文 件 向 指 定 文 件 写 入 指 定 内 容 ( 用 到 第 三 方 库 ) 。 当 g a d g e t 是 继 承 的 第 一 个 类 的 子 类 的 时 候 ， 满 足 攻 击 f a s t j s o n 的 条 件 。 此 时 寻 找 到 的 需 要 g a d g e t 满 足 能 利 用 期 望 类 绕 过 c h e c k A u t o T y p e 。 本 文 分 析 了 一 种 利 用 反 序 列 化 指 向 f a s t j s o n 自 带 类 进 行 攻 击 利 用 ， 可 实 现 文 件 读 取 、 S S R F 攻 击 等 。 二 、 调 试 分 析 二 、 调 试 分 析 1 .   漏 洞 调 试 漏 洞 调 试 从 更 新 的 补 丁 中 可 以 看 到 e x p e c t C l a s s 类 新 增 了 三 个 方 法 分 别 为 ： j a v a . l a n g . R u n n a b l e 、 j a v a . l a n g . R e a d a b l e 、 j a v a . l a n g . A u t o C l o s e a b l e 首 先 ， p a r s e O b j e c t 方 法 对 传 入 的 数 据 进 行 处 理 。 通 过 词 法 解 析 得 到 类 型 名 称 ， 如 果 不 是 数 字 则 开 始 c h e c k A u t o T y p e 检 查 。 当 传 入 的 数 据 不 是 数 字 的 时 候 ， 默 认 设 置 期 望 类 为 空 ， 进 入 c h e c k A u t o T y p e 进 行 检 查 传 入 的 类 。
判 断 期 望 类 ， 此 时 期 望 类 为 n u l l 。 往 下 走 的 代 码 中 ， a u t o C l o s e a b l e   满 足 不 在 白 名 单 内 , 不 在 黑 名 单 内 ， a u t o T y p e S u p p o r t 没 有 开 启 ， e x p e c t C l a s s F l a g 为 f a l s e 。 其 中 ： A . 计 算 哈 希 值 进 行 内 部 白 名 单 校 验 B . 计 算 哈 希 值 进 行 黑 名 单 校 验 C . 非 内 部 白 名 单 且 开 启 a u t o T y p e S u p p o r t 或 者 是 期 望 类 的 ， 进 行 h a s h 校 验 白 名 单 a c c e p t H a s h C o d e s 、 黑 名 单 d e n y H a s h C o d e s 。 如 果 在 a c c e p t H a s h C o d e s 内 则 进 行 加 载 (   d e f a u l t C l a s s L o a d e r ) , 在 黑 名 单 内 则 抛 出   a u t o T y p e   i s   n o t s u p p o r t 。 满 足 条 件 C 后 来 到 c l a z z 的 赋 值 ， 解 析 来 的 代 码 中 对 c l a z z 进 行 了 各 种 判 断 。 从 明 文 缓 存 中 取 出 a u t o C l o s e a b l e 赋 值 给   c l a z z 。 当 c l a z z 不 为 空 时 ， e x p e c t C l a s s F l a g 为 空 不 满 足 条 件 ， 返 回 c l a z z , 至 此 ， 第 一 次 的 c h e c k A u t o T y p e 检 查 完 毕 。
将 检 查 完 毕 的 a u t o C l o s e a b l e 进 行 反 序 列 化 ， 该 类 使 用 的 是 J a v a B e a n D e s e r i a l i z e r 反 序 列 化 器 ， 从 M a p D e s e r i a l i z e r 中 继 承 。 J S O N . D E F A U L T _ T Y P E _ K E Y   为 @ t y p e   , 并 给 它 赋 值 传 入 的 k e y   @ t y p e   , 将 第 二 个 类 也 就 是 这 次   的 g a d g e t 传 入 。 期 望 类 在 这 里 发 生 了 变 化 ， e x p e c t C l a s s 的 值 变 为 j a v a . l a n g . A u t o C l o s e a b l e ， t y p e N a m e 为 g a d g e t ，
来 到 J S O N T y p e 注 解 ， 取 t y p e n a m e   g a d g e t 转 换 变 为 路 径 ， r e s o u r c e 通 过 将   “ . ”   替 换 为 ” / “ 得 到 路 径   。 其 实 已 经 开 始 读 取 g a d g e t 了 ， 它 本 意 应 该 是 加 载 A u t o C l o s e a b l e 。 可 以 看 到 这 里 有 读 取 文 件 的 功 能 。
i s A s s i g n a b l e F r o m ( ) 这 个 方 法 用 于 判 断 里 面 的 类 是 否 为 继 承 类 ， 当 利 用 了 j a v a . l a n g . A u t o C l o s e a b l e 这 个 方 法 去 攻 击 f a s t j s o n ， 那 么 后 续 反 序 列 化 的 链 路 一 定 是 要 继 承 于 该 类 的 子 类 。 T y p e U t i l s . a d d M a p p i n g ( t y p e N a m e ,   c l a z z ) 这 一 步 成 功 把 g a d g e t 加 入 缓 存 中 并 返 回 被 赋 值 g a d g e t 的 c l a z z . c h e c k A u t o T y p e 正 式 检 查 完 毕 ， 此 时 用 d e s e r i a l i z e r   =   p a r s e r . g e t C o n f i g ( ) . g e t D e s e r i a l i z e r ( u s e r T y p e ) ;   u s e r T y p e 既 g a d g e t 进 行 反 序 列 化 。 进 入 c o r e C o n n e c t ( )
在 这 里 进 行 连 接 。 至 此 漏 洞 利 用 完 结 。 2 .   总 结 ： 总 结 ： 在 本 次 反 序 列 化 漏 洞 中 ， 笔 者 认 为 关 键 点 在 于 找 到 合 适 并 且 可 利 用 的 常 用 j a r 包 中 的 g a d g e t 。 g a d g e t 在 被 反 序 列 化 后 即 可 执 行 类 里 的 恶 意 的 功 能 ( 不 仅 限 于 R C E 还 包 括 任 意 文 件 读 取 / 创 建 , S S R F 等 ) 。 也 可 以 使 本 漏 洞 得 到 最 大 化 的 利 用 。 三 、 参 考 考 链 接 三 、 参 考 考 链 接 h t t p s : / / b 1 u e . c n / a r c h i v e s / 3 4 8 . h t m l h t t p s : / / d a y b r 4 a k . g i t h u b . i o / 2 0 2 0 / 0 7 / 2 0 / f a s t j s o n % 2 0 1 . 6 . 6 8 % 2 0 a u t o t y p e % 2 0 b y p a s s / 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理