首页 > TAG信息列表 > marshalsec
Fastjson 1.2.24反序列化漏洞
1.靶场采用Vulhub，一键启动fastjson漏洞环境 2.java jdk采用1.8.0_281 2.1.mkdir /opt/java 2.2.tar zxvf jdk-8u281-linux-x64.tar.gz -C /opt/java2.3.vim /etc/profile 末尾添加： export JAVA_HOME=/opt/java/jdk1.8.0_281 export JRE_HOME=/opt/java/jdk1.8.0_281JNDI注入demo使用ldap方式
JNDI注入demo JNDI（The Java Naming and Directory Interface，Java命名和目录接口）是一组在Java应用中访问命名和目录服务的API,命名服务将名称和对象联系起来,使得我们可以用名称访问对象。 这些命名/目录服务提供者: RMI (JAVA远程方法调用) LDAP (轻量级目录访问协议) CORBAFastjson <= 1.2.47 反序列化漏洞复现
0x01 前言 Fastjson 是一个 Java 语言编写的高性能功能完善的 JSON 库，可以将 Java 对象转换为 JSON 格式，也可以将 JSON 字符串转换为 Java 对象，在中国和美国使用较为广泛。 0x02 漏洞成因 Fastjson < 1.2.68 版本在处理反序列化对象时存在安全问题，导致攻击者可以执行 java 代码，具fastjson 1.2.24 反序列化导致任意命令执行漏洞
fastjson 1.2.24 反序列化导致任意命令执行漏洞 fastjson 1.2.24 反序列化导致任意命令执行漏洞 fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。 漏洞环境fastjson rce相关复现
实验环境 攻击机：Win 10(物理机)、ubantu16（公网环境，恶意java文件所在服务器） 靶机: ubantu18 注意 1.Ubuntu18开启恶意加载RMI的java环境需要为低版本1.8的任意版本 2.要有清晰的思路 3.python的简易网站使用的python版本为2.X（python -m SimpleHTTPServer 6666），3.X可fastjson漏洞复现
1.2.24-rce 1.post发送一个JSON对象，即可更新服务端的信息： curl http://192.168.0.108:8090/ -H "Content-Type: application/json" --data '{"name":"hello", "age":20}' 2.借助marshalsec项目，启动一个RMI服务器，监听9999端口，并制定加载远程类TouchFile.class