复现Fastjson反序列化漏洞（从dnslog回显到rce再到反弹shell）

原创 已于 2022-07-12 13:08:37 修改 · 2.6k 阅读 · 5
于 2022-07-11 19:39:45 首次发布
本文详细介绍了Fastjson的两个反序列化漏洞（CNVD-2017-02833和CNVD-2019-22238），解释了漏洞原理，如何检测漏洞，并提供了漏洞复现的步骤，包括DNSlog回显、远程代码执行和反弹shell。同时，文章给出了修复这些漏洞的建议，如升级组件版本或更换JSON处理库。

警告

请勿使用本文提到的内容违反法律。
本文不提供任何担保

目录

警告

一、漏洞描述

二、漏洞原理

三、漏洞检测

（一）Fastjson<1.2.24远程代码执行（CNVD-2017-02833 ）

（二）Fastjson<1.2.48远程代码执行漏洞（CNVD-2019-22238）

四、漏洞复现

五、漏洞修复

 一、漏洞描述

       Fastjson是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。它还可以用于将JSON字符串转换为等效的Java对象,fastjson爆出多个反序列化远程命令执行漏洞，攻击者可以通过此漏洞远程执行恶意代码来入侵服务器。

二、漏洞原理

         fastjson提供了autotype功能，在请求过程中，我们可以在请求包中通过修改@type的值，来反序列化为指定的类型，而fastjson在反序列化过程中会设置和获取类中的属性，如果类中存在恶意方法，就会导致代码执行等这类问题。

标签
#fastion反序列化漏洞复现
了解本专栏 订阅专栏 解锁全文 超级会员免费看
FastJson远程代码执行漏洞基于JNDI反弹shell使用
hapenl的博客
10-13 6637
在FastJson组件1.2.24及之前版本存在远程代码执行漏洞（CVE-2017-18349）。本文讲解的是基于JNDI的反弹shell操作。
fastjson 代码执行 （CNVD-2017-02833）复现
YouthBelief的博客
10-29 4171
文章目录前言一、fastjson 代码执行 （CNVD-2017-02833）0x01 漏洞描述0x02 影响范围0x03 漏洞利用1.直接用rce工具0x04 漏洞修复总结 前言 Fastjson 是一个 Java 库,可以将 Java 对象转换为 JSON 格式,当然它也可以将 JSON 字符串转换为 Java 对象 一、fastjson 代码执行 （CNVD-2017-02833） 0x01 漏洞描述 fastjson在解析json的过程中,支持使用@type字段来指定反序列化的类型,并调用该类的s
fastjson-c3p0:fastjson不出网回显利用
03-19
fastjson-c3p0 fastjson不出网回显利用 POST /json HTTP/1.1 Host: 127.0.0.1:8999 Upgrade-Insecure-Requests: 1 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/75.0.3770.142 Safari/537.36 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3 Accept-Encoding: gzip, deflate cmd: dir Acce
Fastjson反序列化漏洞复现
m0_46371267的博客
09-29 1774
Fastjson反序列化漏洞复现
Fastjson 1.2.83 漏洞复现与源码分析笔记
最新发布
hello_mszcc的博客
07-22 1089
Fastjson 是阿里巴巴开源的 Java JSON 序列化与反序列化框架。Java对象序列化为JSONJSON反序列化为Java对象JSONvUser.classvUser对象DogCatBirdAutoType机制。User.class字符串vvDate.class动态类型加载。
【网路安全---漏洞复现】Fastjson 1.2.24 命令执行漏洞复现-JNDI简单实现反弹shell（CVE-2017-18349）
m0_67844671的博客
09-27 2500
fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。即fastjson的主要功能就是将Java Bean序列化成JSON字符串，这样得到字符串之后就可以通过数据库等方式进行持久化了。看了很多别人关于漏洞复现过程，很多博客过程简洁，有的过程过于复杂，比如看到写java代码，用javac进行编译等等。所以我想写出比较详细的漏洞复现过程。
Fastjson 1.2.24 命令执行漏洞复现-JNDI简单实现反弹shell
03-08 3812
Fastjson 1.2.24 命令执行漏洞复现-JNDI简单实现反弹shell，不拖泥带水，最简单的办法实现反弹shell与命令执行。
Fastjson漏洞分析与复现
未完成的歌~的博客
08-26 2281
fastjson是阿里巴巴开源的JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。即fastjson的主要功能就是将Java Bean序列化成JSON字符串，这样得到字符串之后就可以通过数据库等方式进行持久化了。
实战记录：从零到反弹shell的fastjson反序列化漏洞利用全过程（附POC）
weixin_29246195的博客
03-25 449
本文详细记录了Fastjson反序列化漏洞从环境搭建到反弹shell的完整利用过程，包括Vulhub环境配置、DNSLog验证、RMI服务器搭建及最终Payload构造。通过实战演示，深入剖析漏洞原理，并提供有效的防御策略，帮助开发者提升Java应用安全性。
Fastjson 1.2.24漏洞实战：从零搭建靶场到反弹Shell完整指南
w1x2y3的博客
02-21 611
本文提供Fastjson 1.2.24反序列化漏洞的完整实战指南，涵盖从环境搭建、漏洞探测到利用链构建的全过程。详细介绍了如何通过JNDI注入实现远程代码执行并获取反弹Shell，同时分享了针对高版本Fastjson的绕过技巧及深度排查方法，帮助安全人员深入理解并防御此类漏洞。
Fastjson ＜=1.2.47反序列化RCE漏洞（CNVD‐2019‐22238）
king丶
08-21 1728
**Fastjson <=1.2.47反序列化RCE漏洞（CNVD‐2019‐22238） ** **一、漏洞描述 ** Fastjson 是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列 化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。Fastjson提供了autotype功能，允许用户在反序列化数据中通过“@type”指定反序列化的类型，其 次，Fastjson自定义的反序列化机制时会调用指定类中的setter方法
从零搭建Fastjson 1.2.24反序列化漏洞靶场：实战复现JNDI注入攻击链
weixin_30617797的博客
06-28 711
反序列化是Java等编程语言中将字节流或数据结构还原为对象的核心机制，广泛应用于网络通信、数据持久化等场景。其原理在于通过读取序列化后的数据，重建对象的实例状态。然而，当程序反序列化不可信数据时，若缺乏严格的类型安全检查，攻击者可能构造恶意数据，触发非预期的对象行为，从而形成反序列化漏洞，具有极高的技术价值和危害性。这类漏洞常出现在JSON、XML等数据解析库中，可导致远程代码执行（RCE），是Web安全领域的重点攻防对象。应用场景广泛，涉及API接口、微服务通信、缓存数据处理等。本文聚焦于Java生态中经
Fastjson 1.2.24反序列化漏洞深度剖析与实战复现
weixin_33851177的博客
07-01 461
JSON序列化与反序列化是现代Web应用数据交换的核心技术，其原理是将数据结构或对象状态转换为可存储或传输的格式，反之亦然。Java生态中，Fastjson因其高性能被广泛采用，但其自动类型推导机制（autotype）在反序列化不可信数据时，可能触发危险类的加载与执行，从而引发远程代码执行（RCE）等严重安全风险。这种风险在Fastjson 1.2.24等早期版本中尤为突出，攻击者可利用精心构造的JSON字符串，通过@type字段指定服务器ClassPath中的危险类，如TemplatesImpl，并触发其
Fastjson 1.2.24漏洞实战：手把手教你搭建靶场并复现RCE（附避坑指南）
sugar的博客
02-26 849
本文详细解析了Fastjson 1.2.24反序列化漏洞（CVE-2017-18349）的实战复现过程。文章从靶场环境搭建、漏洞原理剖析入手，重点讲解了如何利用JNDI注入实现RCE，并提供了多种检测方法、实战利用技巧以及详细的避坑指南。最后，文章还探讨了有效的防御与修复方案，帮助读者在理解攻击原理的同时，构建安全的开发实践。
Fastjson 1.2.24漏洞实战：从环境搭建到反弹Shell完整指南（附避坑技巧）
silver的专栏
02-15 882
本文详细解析了Fastjson 1.2.24反序列化漏洞（CVE-2017-18349）的原理与实战复现方法，包括环境搭建、恶意类编译、RMI服务器配置及反弹Shell获取等关键步骤。同时提供了常见问题解决方案、防御措施及高级利用技巧，帮助安全研究人员深入理解该高危漏洞并有效防护。
【漏洞分析】Fastjson 1.2.24反序列化漏洞（CVE-2017-18349）原理与实战利用
ik678901的博客
02-26 740
本文深入剖析了Fastjson 1.2.24版本的反序列化漏洞（CVE-2017-18349）原理与利用方式。该漏洞源于Fastjson默认开启的autoType功能，攻击者可通过精心构造的JSON数据，利用JdbcRowSetImpl等类的JNDI注入点，实现远程代码执行。文章提供了从环境搭建、漏洞探测到实战复现的完整指南，并给出了升级版本、配置安全参数等关键修复建议。
渗透测试-Fastjson 1.2.47 RCE漏洞复现
道阻且长，行则将至
07-11 8667
漏洞概述 Fastjson是阿里巴巴公司开源的一款 json 解析器，其性能优越，被广泛应用于各大厂商的Java项目中。Fastjson 近几年被爆出的反序列化 RCE 漏洞影响无数厂商，2017年官方主动爆出了 fastjson 1.2.24 的反序列化漏洞以及升级公告，fastjson 于1.2.24 版本后增加了反序列化白名单。 而在2019年6月，fastjson 又被爆出在 fastjson< =1.2.47 的版本中，攻击者可以利用特殊构造的 json 字符串绕过白名单检测，成功执行任意
Fastjson 1.2.24反序列化漏洞实战：从原理到RCE利用(CVE-2017-18349)
weixin_29325007的博客
02-26 480
本文深入剖析了Fastjson 1.2.24反序列化漏洞(CVE-2017-18349)的原理与利用方式。通过分析AutoType机制的安全缺陷，详细演示了如何借助JdbcRowSetImpl类构造JNDI注入攻击链，实现远程代码执行(RCE)。文章提供了从环境搭建、漏洞探测到实战利用的完整复现步骤，并给出了升级版本、关闭AutoType等关键修复建议。
Fastjson反序列化
可爱的我可爱的code
11-19 1578
欢迎去我的博客查看原文：http://www.xpshuai.cn/posts/21856/ 简介 fastjson 是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。可以通过反序列化导致远程命令执行。 漏洞检测方法 DNSLog回显 下面有多个请求，分别放到请求数据包部分(可能某个不适用, 多试几个)，通过构造DNS解析来判断是否是Fastjson，Fastjson在解析下.
评论 5
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

xiaochuhe--kaishui

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值