FastJson远程代码执行漏洞基于JNDI反弹shell使用

原创

已于 2022-10-13 15:45:40 修改 · 置顶 · 6.4k 阅读

7 ·

CC 4.0 BY-SA版权

文章标签：

#安全 #web安全

于 2022-10-13 13:34:50 首次发布

本文介绍如何利用FastJson组件1.2.24及之前的版本存在的远程代码执行漏洞(CVE-2017-18349)进行反弹Shell攻击。通过JNDI注入方式，演示了设置反弹Shell命令、使用JNDI注入工具、构造恶意Payload以及最终成功获取目标主机Shell的过程。

在FastJson组件1.2.24及之前版本存在远程代码执行漏洞（CVE-2017-18349）。

基础知识：

Fastjson是阿里巴巴公司开发的一个Java语言编写的高性能的JSON处理器。它采用一种“假定有序快速匹配”的算法，号称是目前Java语言中最快的JSON库。Fastjson接口简单易用，已经被广泛使用在缓存序列化、协议交互、Web输出、Android客户端等多种应用场景。它提供两个主要接口toJSONString()和 parseObject()进行序列化和反序列化。