【超详细】Fastjson1.2.24反序列化漏洞复现

0x01 前言

Fastjson 是一个 Java 库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。

Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。
Fastjson 特性：

提供服务器端、安卓客户端两种解析工具，性能表现较好。
提供了 toJSONString() 和 parseObject() 方法来将 Java 对象与 JSON 相互转换。调用toJSONString方 法即可将对象转换成 JSON 字符串，parseObject 方法则反过来将 JSON 字符串转换成对象。
允许转换预先存在的无法修改的对象（只有class、无源代码）。
Java泛型的广泛支持。
允许对象的自定义表示、允许自定义序列化类。
支持任意复杂对象（具有深厚的继承层次和广泛使用的泛型类型）。

本次实验需要用到的环境：

JDK环境
Maven环境

简单拓扑：
攻击机：192.168.142.129（kali19.2）
靶机：192.168.142.128(kali19.4)
RMI服务：192.168.142.129

0x02 启动靶场

这里直接利用现成的靶场环境vulhub，详细安装过程可以参考小编的优快云博客，在这不再赘述

https://blog.csdn.net/SuPejkj/article/details/103707207

cd /vulhub/fastjson/1.2.24-rce
docker-compose up -d

靶场环境搭起来之后访问本机IP地址，默认8090端口

http://ip:8090

0x03 环境搭建

① 安装jdk以及maven环境（这里为了方便像我一样萌新的小白，会啰嗦一些。有环境的可以直接略过）

1、下载jdk安装包

点击下面的链接选择合适的JDK版本下载：

http://www.oracle.com/technetwork/java/javase/downloads/jdk8-downloads-2133151.html

2、建立目录，将下载的jdk复制过去并解压

sudo mkdir-p /usr/local/java
sudo cp jdk-8u161-linux-x64.tar.gz /usr/local/java
cd /usr/local/java
sudo tar xzvf jdk-8u91-linux-x64.tar.gz

3、配置环境变量

 vim/etc/profile
###复制以下代码到文件结尾
JAVA_HOME=/usr/local/java/jdk1.8.0_211
PATH=$PATH:$HOME/bin:$JAVA_HOME/bin
export JAVA_HOME
export PATH

4、通知系统java的位置

sudo update-alternatives --install "/usr/bin/java"<