Tcsec安全研究院|fastjson漏洞分析

最新推荐文章于 2026-05-18 10:02:12 发布
原创 最新推荐文章于 2026-05-18 10:02:12 发布 · 2.2k 阅读 · 24 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
标签
#安全 #web安全 #网络安全 #安全漏洞
本文深入探讨了Fastjson的安全漏洞，包括版本探测、利用链分析以及不同版本的漏洞利用方法，如jackson的CVE-2017-7525和CVE-2020-36179，以及Fastjson的各种利用技巧，如DNSLOG探测和WAF规避策略。同时，文章提醒开发者关注Fastjson的安全更新，避免使用存在漏洞的旧版本。

开发板推荐：天空星STM32F407VET6开发板

超高性价比 STM32主控 | 超高主频 | 一板兼容百芯 | 比赛神器 | 沉金彩色丝印

点击查看

fastjson漏洞分析

fastjson介绍

fastjson 是一个 Java 库，可用于将 Java 对象转换为其 JSON 表示形式。它还可以用于将 JSON 字符串转换为等效的 Java 对象。Fastjson 可以处理任意的 Java 对象，包括没有源代码的预先存在的对象。
在这里插入图片描述

json -> bean

java 的核心就是对象的操作，fastjson 同样遵循这个原则利用get、set操作对象。将 User 对象转化为JSON字符串后，通过其提供的 parse() 方法就可将字符串还原成对象。
在这里插入图片描述

json框架探测

json框架识别

不同的json框架在解析json字符串的表现形式各不相同，利用其独特性质可以对json框架进行识别。举例现存在一个User对象，分析 json 反序列化时的性质。
在这里插入图片描述

jackson

  1. 严格要求与bean对象对齐，可少不能多，因此添加多余kv 报错
    在这里插入图片描述

  2. 无法解析单引号 报错
    在这里插入图片描述

  3. 无法识别注释符 报错
    在这里插入图片描述

gson

  1. 浮点无法转整数 报错，向 int 类型的值传浮点数无法解析会报错
    在这里插入图片描述

  2. 特有解析 报错，遇到 # 时都会当注释符处理
    在这里插入图片描述

  3. 特有解析 报错，拼接一个json字符串时会报错
    在这里插入图片描述

org.json

  1. 特有解析，插入 \n \r等字符改变输出，结合 # 注释符处理
    在这里插入图片描述

fastjson

  1. 浮点精度不丢失
    在这里插入图片描述

  2. 响应状态，如果是fastjson会对@type做出响应
    在这里插入图片描述

  3. DNSLOG 探测，这种方式可以无回显探测fastjson，是较为高效的一种方法，但不适用于不出网环境
    在这里插入图片描述

在 dnslog 域名被 ban 时，也可用一些正常域名探测是否存在DNS配置或出网
在这里插入图片描述

fastjson版本探测

当确定存在 fastjson 组件后，下一步就是对版本后的探测，以便更有针对性的利用。

有回显精确版本号

有报错回显的情况下，返回精确版本号
在这里插入图片描述

对于 FastJsonHttpMessageConverter 配置的解析，通常指定了key值或json结构，可通过添加[]等方式破坏既定结构
在这里插入图片描述

dnslog探测

1.2.47、1.2.68、1.2.80是漏洞的三个里程碑版本，通过java.lang.Class、java.lang.AutoCloseable、java.lang.Exception 来构造dns可以准确识别，并且该探测方式向下版本兼容

1.2.47
在这里插入图片描述

1.2.68
在这里插入图片描述

1.2.80
68和80都只会接收到第一个dnslog请求，83会收到第二个请求
在这里插入图片描述

fastjson利用链探测

确定版本后，就是针对利用链的一个探测。

Character 报错回显

探测到存在的类时将 Class 强转为 Char 导致报错回显
在这里插入图片描述

Class回显

当类存在时将返回一个类实例，通常体现在改变服务器的响应
在这里插入图片描述

dnslog外带

该方式利用难度很高，对操作系统、dns服务器均有要求
在这里插入图片描述

json利用

jackson

jackson通常是通过cve记录漏洞进行攻击，举例两个攻击方式，当然也可以自行构造调用链，与fastjson类似。

CVE-2017-7525 反序列化

在这里插入图片描述

CVE-2020-36179 SSRF & RCE

在这里插入图片描述

exec.sql
在这里插入图片描述

fastjson <=1.2.24

最初的漏洞版本，无任何校验，任意利用，举例payload

JdbcRowSetImpl

在这里插入图片描述

TemplatesImpl

在这里插入图片描述

bcel

在这里插入图片描述

fastjson 1.2.25-1.2.45 黑名单

之后的 fastjson 引入checkAutoType 机制检查，当手动开启 autotype 时，可以绕过黑名单检查，这几种方式目前实战中已经很少见了。但黑名单但引入，对研究其他组件的利用方式很有帮助。
https://github.com/LeadroyaL/fastjson-blacklist

1.2.41 加L

在这里插入图片描述

1.2.42 双写L

在这里插入图片描述

1.2.43 加[{

在这里插入图片描述

fastjson <=1.2.47 缓存通杀

在 fastjson 迭代到 1.2.47 时，爆出的漏洞在不开启 AutoTypeSupport 的情况下就可以构造任意反序列化
对于1.2.25-1.2.32：需关闭AutoTypeSupport
在这里插入图片描述

fastjson <=1.2.68

在 fastjson 迭代到 1.2.68 时，新增了对 expectClass 的判断，可以通过这个绕过 autoType 检查
在这里插入图片描述

fastjson <=1.2.80

fastjson 引入 expectClass 属性后造成了 1.2.68 的漏洞。而 checkAutoType 中还有一个对 expectClass 的判断，造成了 1.2.80 的漏洞。
在这里插入图片描述

fastjson WAF bypass

编码绕过

fastjson 对 key,value 值会自动进行 hex 解码和 unicode解码
在这里插入图片描述

在这里插入图片描述

字符填充

传统绕WAF思路，大量字符
在这里插入图片描述

fastjson dos

对于 Fastjson 1.2.36-1.2.62 的版本存在dos漏洞，在 1.2.80 后 fastjson 推出 noAutoType 版本，但并未对dos漏洞进行修复
在这里插入图片描述

fastjson 1.2.25-1.2.32 绕过autoType限制

fastjson 1.2.47 的漏洞存在一种情况，对于1.2.25-1.2.32版本区间需关闭AutoTypeSupport，这个问题在前几个月以赛题形式出现在了CTF中，也有了解决方案
在这里插入图片描述

fastjson -> codeql

比如寻找 shiro 的调用链，source 点就是类的 Field，sink点是lookup方法
在这里插入图片描述

找到3条调用链
在这里插入图片描述

总结

fastjson通过黑名单的方式限制攻击，终究是会有遗漏的，所以在官网的介绍中也建议使用fastjson2。
在这里插入图片描述

参考

https://blog.sometimenaive.com/2020/05/21/find-fastjson-jndi-gadget-by-codeql-tainttracking/
https://github.com/Whoopsunix/fastjson_study
https://github.com/knownsec/KCon/tree/master/2022

开发板推荐：天空星STM32F407VET6开发板

超高性价比 STM32主控 | 超高主频 | 一板兼容百芯 | 比赛神器 | 沉金彩色丝印

点击查看
tcsecXD
关注
35-3 使用dnslog探测fastjson漏洞
weixin_43263566的博客
04-10 1243
DNSLog是一种记录在DNS上的域名相关信息的机制，类似于日志文件，记录了对域名或IP的访问信息。因特网采用树状结构的命名方法，按照组织结构划分域，每个域都是名字空间中被管理的一个划分，可以进一步划分为子域。当向DNS服务器发起kxsy.work的解析请求时，DNSLog会记录下此次解析，包括解析的域名和对应的IP地址。刷新dnslog服务器的记录，有记录就说明存在漏洞（一开始的4ax的子域名发送请求，刷新看不到，我就获取一个新的子域名做演示，所以下面的截图中的域名跟上一张不一样）将数据包发送到重发器。
Fastjson漏洞的识别与DNSlog回显
tpaer的博客
09-02 5800
Fastjson RCE漏洞实战POC探测方式
fastjson1.2.83反序列化漏洞
热门推荐
Coder的博客
07-13 1万+
【代码】fastjson1.2.83反序列化漏洞。
代码审计-fastjson的dnslog探测方式分析
cdyunaq的博客
12-15 2357
前言 正常测试的时候，发现java后端对json处理都会去测试一下是否存在反序列化，但是后端处理json的组件很多，比如fastjson、jackson、gson等，怎么判断是否使用了fastjson呢？ 有一个简便无危害的方式，就是通过dnslog来判断。 大佬们讨论的issue 说明 前面我们在分析的时候，会发现很多有一个变量token在进行判断，比如token == 12 或者 token == 14等，那这个token到底代表啥呢？在com.alibaba.fastjson.parser.
Fastjson【RCE1.2.47】漏洞原理与实战攻防剖析
最新发布
weixin_28688385的博客
05-18 355
本文深度剖析Fastjson 1.2.47版本的反序列化漏洞（RCE）原理与攻防实践，详细讲解该漏洞如何通过JNDI注入实现远程代码执行，并提供漏洞复现的完整攻击链。文章涵盖靶场搭建、分步验证技巧及企业级防御方案，帮助开发者理解漏洞本质并实施有效防护措施。
安全评估标准：TCSEC、ITSEC、FC、CC
qq_69100706的博客
10-16 2919
TCSEC是最早的安全评估标准之一，主要针对操作系统，但现在已经较少使用。ITSEC和FC在欧洲和美国分别得到了广泛应用，并且为后来的CC标准奠定了基础。CC是目前最广泛使用的国际标准，适用于各种类型的信息技术产品和服务，强调了全球互认和灵活性。
网络信息安全等级与标准
2201_75362610的博客
04-04 2200
为了实现对网络安全的定性评价，美国国防部在1985年制定了可信任计算机标准评估准则(TCSEC),它已经成为了现行的网络安全标准。在TCSEC中，美国国防部按处理信息的等级和应采用的响应措施，将计算机安全从高到低分为A、B、C、D四类七个级别，共27条评估准则。其中: D级为无保护级、C级为自主保护级(C1级为机动安全保护，C2级为控制访问保护)、B级为强制保护级(B1级为标签安全，B2级为结构保护，B3级为安全域)、A级为验证保护级。随着安全等级的提高，系统的可信度随之增加，风险逐渐减少。
通过dnslog探测fastjson的几种方法
Adminxe的博客
05-04 9708
0x01 背景 在渗透测试中遇到json数据一般都会测试下有没有反序列化。然而json库有fastjson,jackson,gson等等。怎么判断后端不是fastjson呢？这就需要构造特定的payload了。 昨天翻看fastjson源码时发现了一些可以构造dns解析且没在黑名单当中的类，于是顺手给官方提了下Issue。有趣的是后续的师傅们讨论还挺热闹的，我也在这次讨论中学习了很多。这篇...
TCSEC介绍
LongL_GuYu的博客
06-05 3078
TCSEC简单学习
美国国防部可信计算机系统评估系TCSEC
kiku
09-28 6427
TCSEC标准是计算机系统安全评估的第一个正式标准，具有划时代的意义。该准则于1970年由美国国防科学委员会提出，并于1985年12月由美国国防部公布。TCSEC最初只是军用标准，后来延至民用领域。TCSEC将计算机系统的安全划分为4个等级、7个级别。 D级别是最低的安全级别，对系统提供最小的安全系统的访问控制没有限制，无需登陆系统就可以访问数据，这个级别的系统包括DOS, WINDOWS98等 C级别有两个子系统，C1级和C2. C1级称为选择性保护级（ Discrtionary Security Pro
第8章 通信网络安全
weixin_58085973的博客
04-12 973
电信网络是一个国家的信息基础设施的关键组成部分，承担着大范围的公众通信业务，随着 信息社会人们对信息的依赖程度越来越高，电信网络与国民经济各个领域的发展日益紧密。电信网络的安全对整个国家的信息安全起着举足轻重的作用。1、电信网络的网络安全概念广义电信网络的网络安全概念是：保证电信网络，在规定环境下，完成规定功能和性能；在 环境劣化时，保持最低需求的功能和性能；在环境恢复时，能够迅速恢复规定功能和性能的网络 设施、相关程序及人员行为的集合。
Fastjson在实战中的检测与利用
why811的博客
10-08 6743
参考：https://github.com/alibaba/fastjson/issues/3077java.net.InetAddress这个gadget在1.2.49禁止了。如果上面这个poc可以出dnslog说明很大概率可以rce。如果以上这些poc可以出dnslog，则可以说明后端百分百是fastjson。最近发现有个容易被人弄错的地方，就是fastjson的payload。网上的Payload，发现有的目标可以成功，有的目标不能成功，这是为什么？
FastJson中AutoType反序列化漏洞
isxiaole的博客
05-06 1万+
FastJson中AutoType反序列漏洞梳理。
第8章 安全模型、设计和能力的原则
HeLLo_a119的博客
11-17 2077
安全模型、设计和能力的原则
网络信息安全等级与标准_比较tcsec,cc及我国信息安全等级保护标准
2401_84215240的博客
04-19 1866
为了实现对网络安全的定性评价，美国国防部在1985年制定了可信任计算机标准评估准则(TCSEC),它已经成为了现行的网络安全标准。在TCSEC中，美国国防部按处理信息的等级和应采用的响应措施，将计算机安全从高到低分为A、B、C、D四类七个级别，共27条评估准则。其中: D级为无保护级、C级为自主保护级(C1级为机动安全保护，C2级为控制访问保护)、B级为强制保护级(B1级为标签安全，B2级为结构保护，B3级为安全域)、A级为验证保护级。随着安全等级的提高，系统的可信度随之增加，风险逐渐减少。
Fastjson反序列化漏洞
g1345444的博客
02-19 1287
下载地址：https://github.com/RandomRobbieBF/marshalsec-jar。下载地址：https://github.com/welk1n/JNDI-Injection-Exploit。下载地址：https://github.com/pmiaowu/BurpFastJsonScan。下载地址：https://github.com/a1phaboy/FastjsonScan。将TouchFile.java文件内容修改为以下代码。地址：http://www.dnslog.cn/
网络安全协议
yj11290301的博客
01-30 1万+
本章将会进行网络安全协议的讲解网络安全（Cyber Security）是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断。为了对现有计算机系统的安全性进行统一评价，为计算机系统制造商提供一个权威的系统安全性标准。需要有一个计算机系统安全测评标准。美国国防部于1983年推出了历史上第一个计算机评价准则—（可信计算机系统评价准则）（TCSEC)，带动了国际上计算机安全测评的研究。
Fastjson反序列化漏洞复现
weixin_52501704的博客
01-02 2481
Fastjson反序列化漏洞复现
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值