🌸 FastJson

FastJson是一个由阿里巴巴开发的高性能JSON处理库，支持Java对象与JSON字符串之间的互相转换。

本次漏洞研究基于FastJson的1.2.24版本。也就是最早出现FastJson反序列化漏洞的版本。

CVE-2017-18349，FastJson<=1.2.24

🍂 Demo

先来熟悉一下什么是Json：

package org.y4y17;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class Main {
    public static void main(String[] args) {
        String s = "{\"name\":\"Y4y17\",\"age\":17}";

        JSONObject jsonObject = JSON.parseObject(s);
        System.out.println(jsonObject);
        System.out.println(jsonObject.get("name"));
        System.out.println(jsonObject.get("age"));
    }
}

这里简单的写了一个Demo，String s = "{\"name\":\"Y4y17\",\"age\":17}";创建了一个字符串，然后利用JSON.parseObject方法来将字符串解析为对象。

• JSON.parseObject，是将Json字符串转化为相应的对象；
• JSON.toJSONString，是将对象转化为Json字符串。

然而在反序列化的时候，可以指定转化的对象类型！此时JSON.parseObject方法便会将其转化为对应的一个javaBean，比如我们这里存在一个JavaBean：

package org.y4y17;

public class Person {
    private String name;
    private int age;
    public Person() {
        System.out.println("调用了constructor方法");
    }
    public String getName() {
        System.out.println("调用了getName方法");
        return name;
    }

    public void setName(String name) {
        this.name = name;
        System.out.println("调用了setName方法");
    }

    public int getAge() {
        System.out.println("调用了getAge方法");
        return age;
    }

    public void setAge(int age) {
        System.out.println("调用了setAge方法");
        this.age = age;
    }

    @Override
    public String toString() {
        return "Person{" +
                "name='" + name + '\'' +
                ", age=" + age +
                '}';
    }
}

那么在转化为Java对象的时候可以通过指定要转化的类，来完成对应对象的转化。如下代码：

package org.y4y17;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class Main {
    public static void main(String[] args) {
        String s = "{\"name\":\"Y4y17\",\"age\":17}";

        Person person = JSON.parseObject(s, Person.class);
        System.out.println(person.getAge());
    }
}

在上面的Person类中的各个set和get方法中，打印了相关的方法名，以便更加清晰的看到调用关系。如上代码的执行结果如下：

当我们指定了要转化的类的时候，发现整个转化的过程中，先调用了构造器，然后就是调用相关的set方法和get方法（在这里的get方法是在getAge()调用的时候触发的）。

然而在FastJson反序列化的时候，可以指定一个@type字段，用来表明指定反序列化的目标恶意对象类。比如我们在String字符串里面添加一个@type字段。

String s = "{\"@type\":\"org.y4y17.Person\",\"name\":\"Y4y17\",\"age\":17}"

package org.y4y17;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class Main {
    public static void main(String[] args) {
        String s = "{\"@type\":\"org.y4y17.Person\",\"name\":\"Y4y17\",\"age\":17}";
        JSONObject jsonObject = JSON.parseObject(s);
        System.out.println(jsonObject);
    }
}

然而在上面的JSON转化为Java对象的时候，通过写入@type字段，实现了指定类的反序列化，成功的调用了Person类中的set和get方法以及构造器。

🍂 流程分析

下断点进行调试：

跟进到JSON的parseObject方法中：在JSON类中可以看到存在很多种方法，其中他们的参数是不同的：

在parseObject方法中：

首先parse主要负责解析我们传递的text，最后便会返回这个Person类对象，在这个过程中就会调用构造器和set方法，而最后的return，将对象强制转化为JSONObject对象，这个过程中会调用到Person类中的get方法！继续跟进到parse方法中：

其中这个parse方法也是一个静态的方法，可以直接在外部进行调用：

在上述的代码中，会创建一个默认的JSON解析器：

DefaultJSONParser parser = new DefaultJSONParser(text, ParserConfig.getGlobalInstance(), features);
Object value = parser.parse();

然后利用创建的解析器进行解析，最终返回Person类对象。ParserConfig.getGlobalInstance()是创建了一个解析器，进行初始化，主要就是初始化一些配置，可以跟进一下看：

可以看到这个parserConfig类中的构造器：

放进去了一下默认的反序列化器；比如：derializers.put(Map.class, MapDeserializer.instance);如果是Map类型的话，就使用MapDeserializer反序列化器

同时整个过程中还设置了一些黑名单，也就是当时在这个漏洞出现之前，禁止指定的类：

如这里的java.lang.Thread，线程类。

接下来JSON扫描器，就会从头开始扫描我们传递进来的string：

首先就会判断第一个字符是不是一个" { "，如果是的话，也就是代表着一个JSON格式的字符串，进入到if条件里面：

或者是不是一个“[”，如果是的话，其实就是一个数组。由于我们传递的就是一个符合JSON格式的字符串，所以if直接就进入了，其他的都不会进去，此时就会创建好默认的JSON解析器了，下一步就是解析的过程：

跟进到这个parse方法中：

parse方法中通过switch来匹配第一个字符到底是什么，因为我们是一个左大括号，所以继续往下走：

这里便会创建一个JSONObject，他其实是一个Map

这里相当于是创建了一个新的Map，size为0

这里我们继续跟进到parseObject方法中！先是经过一系列的判断：

因为这里我们是“{”，所以这里所有的if条件都不满足，直接过：

接下来经过了一个死循环！必须存在break 或者return才能结束。if和while主要是进行了重复的事情，寻找“，”，如果存在的话，就跳过。

然后继续判断是不是双引号和：、}等符号：整个过程中就是取出来了一个key！也就是@type

继续往下走的话，其实会去判断拿到这个key是不是和默认的key一样！默认的可以就是@type

之后就会通过loadClass进行类加载了！继续跟进：

先从缓存中查找是不是已经加载过了，或者有相关的记录（空间换时间），如果存在的话，就直接拿出来用了！

之后便会判断类名的首字符是不是“[”，也就代表着数组，之后又判断是不是以“L”开头，同时以“；”结尾。我们这里都不满足，所以就不管了，继续往下走：

这里就会获取到AppClassLoader，通过AppClassLoader进行加载！然后就会把他放到缓存中，最后return 这个类。此时整个loaderclass也就结束了。

接下来回到了默认的JSON解析器中：

这里if条件都不满足，继续往下走吧：

这里的object就是最开始创建的JSONObject，当时说他是一个Map，整个过程中还没有往里面存放东西，所以他的size就是0，这里的if条件还是不成立，继续往下走就会发现：ObjectDeserializer deserializer = config.getDeserializer(clazz);

从config里面获取了一个反序列化器！将我们的类放到里面。而这个获取到的反序列化器就是前面我们看到ParserConfig构造器里面初始化的那些，当然我们这里继续跟进，看看他获取到的反序列化器是什么？

这里从构造器初始化的那些反序列化器中获取对应的，其实是没有的！继续往下走是泛型 然后调用了：getDeserializer

跟进之后，发现还是一直在找这个反序列化器，一直找不到，就各种判断是不是type为空等，是不是自己通过注解的方式写了一个反序列化器，显然我们是没有的！所以这里的if都是进不去的！

之后就开始判断是不是黑名单里面的～ 继续往下走：

然后又去判断了是不是Enum等，到最后一直找不到，就创建了一个JavaBeanDeserializer反序列化器！继续跟进到这个方法中：

这里存在一个变量asmEnable变量，初始化是true。

继续走，调用了JavaBeaninfo类中的getBuilderClass方法，由于传递的jsonType是一个null值，最终方法return null。还是继续往下走，superclass复制本身，通过一个死循环，获取这个类的修饰符，判断是不是public。如果不是的话，那么asmEnable就会被设置为false

整个过程中又去判断了是不是参数为空，指定的类是不是一个接口！（反正又是各种不满足！）

最后调用了一个JavaBeaninfo的build方法，跟进看一下：

到这个build方法中，发现获取了Person类中的所有的Filed，以及Public属性修饰的方法，以及默认的构造器！然后判断这个默认的构造器是不是为空，如果不为空的话，就设置一下可访问！

接下来就是三个for循环：

首先第一个就是获取所有的set方法！第二个是获取所有的public属性的变量，第三个就是获取get方法！先看第一个方法：

这里先挨个遍历这些方法，他的方法名字长度是不是小于4，因为set就占了三个字符长度了～ 又判断了这个方法的修饰符是不是静态的，以及方法的返回值是什么，因为set方法一般就是没有返回值的！

当方法是set相关的方法的时候，经过上述的条件判断，一直往下走：

获取到set之后的第一个字母，判断是不是大写的！然后判断了一个静态变量是不是true，如果不是的话，那么就将这个大写字母转换为小写字母！然后将后面的其他字符进行拼接！

之后就是获取这个方法中的变量：

最后通过add方法，把整个获取到信息，全部放入到List里面！

在这个方法中还创建一个FieldInfo，这里我们跟进到这个方法中：

在这个方法中存在一个Feild，对整个逻辑存在相关的影响：

就是这个getOnly变量，正常来说他是一个false，往下走的时候，可以清楚的看到else{ }里面存在着这个变量的覆盖！getOnly=true

正常这个types就是参数的长度，我们这里就是1，如果不是1的话，那就会走到这个else代码里面，然后给getOnly进行赋值！（这里下面也就没有什么其他的东西了，继续往下走就回到了add方法，这里的getOnly有什么用后续再说！）

最终经过上面的for循环，整个List里面就存放了两个值，一个是age，一个是name：

之后便是进入到获取类中所有的变量，因为当前的类中是没有Public修饰的变量的，所以就不用看了。

进入到第三个for循环，就是获取get方法，但是这里并不会add（像第一个for循环，寻找set方法时），

因为在这个for循环中，会去判断这个方法的返回值类型是不是Collection或者是不是Map等，如果是的话，才会进行后续的add，还有一个条件就是：

他在找get的时候，会看一下fieldList里面是不是存在这个字段，如果存储过了，那就不会add。所以这里总结一下在寻找get方法的时候，触发add方法的两个条件：

• • 返回值类型需要是Map、Collections等要求的那些
  • 同时fieldList里面没有这个字段（换句话说就是这个字段，只有get方法，而没有set方法！）

最后直接返回了一个JavaBeanInfo，其实在创建反序列化器的整个过程中就是在获取我们这个Person类中的所有的信息！

继续往下走：

下面依然会去通过一些if条件，这个asmEnable还是存在可以修改的情况！比如clazz不是一个接口，默认的构造器是null，同样会修改asmEnable为false！

接下来就是会通过一个for循环！可以遍历Field里面的getonly，如果有一个是true的话，就可以修改asmEnbale为false了！但是这里并不满足！

最后就会判断这个asmEnable是不是false，如果是的话，就会创建一个JavaBeanDeserializer反序列化器！否则的话，会利用asmFactory去创建一个反序列化器！

所以这里创建的反序列化器并不是默认的那个反序列化器：

而是一个叫FastJsonASMDeserializer的反序列化器！他是一个临时创建的类，所以这里是没办法调试的！回顾整个创建的过程中，其实我们在之前有说到过一个field，就是getonly。当他满足的为true的时候，asmEnable也就变成了false。此时创建的反序列化器就是默认的，此时也就可以进行调试了。

也就是Fieldinfo类中的构造器中，他去获取了方法的参数，判断参数类型的长度是不是1，如果不是的话，就可以进入到else代码中，将getOnly设置为true！

那么在往前去找我们从哪里进来这个构造器的：

是在JavaBeanInfo类中的两个for循环中出现的调用！第一个就是寻找set方法，第二个就是寻找get方法！然而在第一个for循环中的FieldInfo里面其实是无法将getOnly设置为true的。原因就是他的参数类型长度肯定是1，所以在第一个for循环中无法设置了！

只能在第二个for循环中进行设置！也就是寻找get方法的for循环。但是之前我们就谈到过这个for循环中的add方法是需要满足条件才能进入的！

他的返回值必须要是if条件里面的才行！所以我们这里需要创建一个返回值是如上类型的set方法！之前还说到一个条件就是 这个field只能有get方法，没有set方法，不然的话，在上面for循环中，将这个field加入到FeildList中就不会再调用get方法了！

所以这里我们定义一个map类型的field：

package org.y4y17;

import java.util.Map;

public class Person {
    private String name;
    private int age;
    private Map map;

    public Map getMap() {
        System.out.println("调用了getMap方法");
        return map;
    }

    public Person() {
        System.out.println("调用了constructor方法");
    }
    public String getName() {
        System.out.println("调用了getName方法");
        return name;
    }

    public void setName(String name) {
        this.name = name;
        System.out.println("调用了setName方法");
    }

    public int getAge() {
        System.out.println("调用了getAge方法");
        return age;
    }

    public void setAge(int age) {
        System.out.println("调用了setAge方法");
        this.age = age;
    }

    @Override
    public String toString() {
        return "Person{" +
                "name='" + name + '\'' +
                ", age=" + age +
                '}';
    }
}

再次调试，直接断点在第二个for循环那里，因为没有给map变量设置set方法，所以前面的寻找set方法的时候，往FieldList里面加入的还是age 和 name两个field：

此时是getMap！我们往下跟进：

这里的if条件满足，所以就会进入到这个if条件里面了！

而且在fieldList里面寻找也没找到，原因就是他根本就没有set方法，所以没找到！

到这里的话就继续跟进到Fieldinfo方法里面：

到这里的时候，getMap方法的参数是空的，所以这里就不满足了，成功的进入到了else代码里面，成功的将getOnly设置成了true！

最后return。回到上层，继续看：

此时已经是返回了beaninfo，里面的field就是三个了，分别就是age、name、map；继续代码往下走就会经过for循环，去获取field的getonly变量，如果是true的话，就会将asmEnable设置为false！然而上面的map的getonly就已经被我们设置成了true！所以能进入if条件：

这里可以看到map的getOnly确实就是true。因此可以设置asmEnable为false。

然后往下走成功进入到if条件，创建了一个默认的JavaBeanDeserializer对象！

然后将成功的创建了一个反序列化器，这个是可以调试的。（上述的目的仅仅是为了调试～ ）接下来就是利用反序列化器进行反序列化操作了，继续跟进到deserialze方法中：

发现调用了createInstance方法，其中parser就是默认的JSONparser，type便是指定的类，继续跟进：

最终通过构造器进行了newInstance，也就执行了构造器方法！

接着继续往下走便是setvalue：

赋值操作无非就是通过反射或者是通过调用set方法！跟进到这个setValue方法中！

然后就是通过invoke进行调用赋值！这里其实有一个if条件，并没有满足，直接跳到了invoke这里执行了。

这里的getOnly变量的值是false。因为他是一个set方法。最后也就返回了整个调用过程和对象：

可以看到这里并没有执行get方法，最开始的时候，就已经提到了上面是调用set方法，而在toJSON的时候才会进行调用get方法！

继续跟进到toJSON里面：

上面一直都在判断这个clazz是个什么？都不满足，因为他是个Person类！

这里的getobjectWriter就是序列化的方法！

接下来就是创建了一个JSONObject对象（和之前的一样就是一个Map）

这里就是获取到了三个键值对！然后往JSONObject里面存放！整个过程中也是通过调用invoke方法来实现的get方法执行：

Map<String, Object> values = javaBeanSerializer.getFieldValuesMap(javaObject);

在javaBeanSerializer.getFieldValuesMap(javaObject)方法中调用了invoke方法：

继续跟进到这个getPropertyValue方法中：

该方法中又调用了get方法！继续跟进到这个get方法中：

在get方法中，先是判断了method是不是为空，如果不为空的话，就通过invoke方法来调用get方法。

此时便成功的完成了整个的调用。整个过程中，我们传递的参数，并没有传递map。如果我们传递map的话，在利用反序列化器进行反序列化的时候，也是会调用getMap的（原因是，寻找set方法的时候，mapfield并没有set方法，仅仅有一个get方法！）

🌸 流程总结

整个过程分为三个阶段

• • JSON解析器解析阶段，此时还只是当作JSON字符串来解析
  • Java反序列化器解析阶段，此时是因为在JSON字符串中找到了@type字段，便开始当作是Java对象解析
  • toJSON阶段，此时会调用get方法

思考：整个流程分析完了，那么如何利用这个漏洞/缺陷来进行攻击呢？

• • 只要能找到一个类，该类中的set或者get方法中存在调用链，便可以利用

🍂 本地Demo

尝试创建一个类，实现弹计算器的操作：

package org.y4y17;

import java.io.IOException;

public class Test {
    public void setCmd(String cmd) throws IOException {
        Runtime.getRuntime().exec(cmd);
    }
}

创建一个Test类！然后我们传递这个类，通过@type，进行指定：

package org.y4y17;

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class Main {
    public static void main(String[] args) {
        String s = "{\"@type\":\"org.y4y17.Test\",\"cmd\":\"open -a calculator\"}";
        JSONObject jsonObject = JSON.parseObject(s);
        System.out.println(jsonObject);
    }
}

运行后成功弹出计算器：