fastjson 远程代码执行漏洞(HTTP_Java静态调用_java.lang.Runtime_远程代码执行)

最新推荐文章于 2025-02-28 03:19:59 发布

Tastill

最新推荐文章于 2025-02-28 03:19:59 发布

阅读量1.3k

点赞数

CC 4.0 BY-SA版权

分类专栏： JAVA Spring 文章标签： _java.lang.Runtime_ fastjson @type

原文链接：http://javaweb.org/?p=1855

JAVA 同时被 2 个专栏收录

61 篇文章

订阅专栏

Spring

12 篇文章

订阅专栏

本文探讨了FastJSON 1.1.42版本中存在的远程代码执行安全漏洞，通过升级至1.2.30版本成功解决。文章详细介绍了漏洞触发机制及修复方法，包括全局过滤@type关键字。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

今天公司代码安全测试提出来一个问题：HTTP_Java静态调用_java.lang.Runtime_远程代码执行！

百度查询资料，发现是fastjson架包的安全漏洞问题，在com.alibaba.fastjson原来使用的是1.1.42版本的！

我升级到了1.2.30，测试发现确实解决了该问题！

<dependency>
            <groupId>com.alibaba</groupId>
            <artifactId>fastjson</artifactId>
            <version>1.2.30</version>
        </dependency>

看某博客主介绍fastjson在1.2.24以及之前版本存在远程代码执行高危安全漏洞，为了保证系统安全，请升级到1.2.28/1.2.29或者更新版本。

官方公告：https://github.com/alibaba/fastjson/wiki/security_update_20170315

触发漏洞需要构造一个特殊的json对象，这种应用场景多出现在C/S接口交互。公告中说道："安全升级包禁用了部分autotype的功能，也就是"@type"这种指定类型的功能会被限制在一定范围内使用。"

当反序列化一个特殊的json字符串为java对象时可以实例化”任意“(有几个类如Thread在黑名单除外)的java对象并调用部分的java方法。

比如序列号如下json字符串(键包含了"@type" JsonTypeInfo类中的注解)时,fastjson会创建一个java对象实！

String json = "{\"@type\":\"java.lang.Runtime\"}";
Object obj = JSON.parseObject(json, Object.class);
System.out.println(obj);

执行上面的代码会发现输出了：java.lang.Runtime@194e4c9a，不过并不是就可以执行任意的代码了，因为得找一个触发点给方法传参。查了下fastjson的代码，发现可以直接在后面@type后面写方法名称和参数！

String json = "{\"@type\":\"org.javaweb.test.controller.Test\",\"cmd\":{\"@type\":\"java.lang.Runtime\"}}";

比如Test类有个setCmd方法可以传入自定义参数。但是JavaBeanInfo在反序列化操作的时候限定了很多条件，比如不能是静态方法、而且必须是setXXX方法，不过static类的成员变量可以直接修改值。

修复方法：

1、升级fastjson版本(注意可能有兼容问题，参见：https://github.com/alibaba/fastjson/wiki/incompatible_change_list)

2、全局过滤"@type"关键字

原文地址：