Fastjson 反序列化漏洞[1.2.24-rce]

漏洞复现环境搭建请参考

http://t.csdnimg.cn/vSaaw

kali切换jdk版本请参考

Kali安装JAVA8和切换JDK版本的详细过程_kali安装jdk8-优快云博客

漏洞原理

Fastjson提供的com.sun.rowset.JdbcRowSetImpl类下的dataSourceName方法支持传入一个RMI/LDAP源，支持远程调用。攻击者只需要创建一个恶意指令类（写入反弹shell等恶意命令），设置RMI/LDAP服务的远程加载指向该恶意类，即可做到远程任意命令执行

漏洞版本

fastjson<=1.2.24

漏洞验证

（1）Web访问，JSON页面

（2）BP抓包，利用DNS回显验证，DNSLog Platfor