Fastjson 是一个广泛使用的 JSON 处理库，它在过去曾暴露出多个安全漏洞，尤其是与反序列化过程相关的漏洞。这些漏洞通常允许攻击者通过精心构造的 JSON 数据来执行远程代码执行（RCE）、反序列化攻击等恶意行为。
以下是 Fastjson 漏洞的复现方法和一些常见的漏洞类型。需要注意的是，漏洞复现应当在合法授权的环境下进行，避免造成不必要的安全隐患。
常见的 Fastjson 漏洞类型
- 反序列化漏洞（Deserialization Vulnerability）
- 远程代码执行漏洞（Remote Code Execution, RCE）
- 信息泄露漏洞（Information Disclosure）
漏洞背景
Fastjson 库的反序列化过程并未严格检查 JSON 数据中的类和对象类型，这使得攻击者可以构造特定的 JSON 数据，导致恶意代码的执行或其他安全问题。
漏洞复现：远程代码执行 (RCE)
假设存在一个基于 Fastjson 的应用，攻击者可以通过发送特制的 JSON 数据来利用反序列化漏洞执行恶意代码。以下是一个经典的远程代码执行漏洞的复现步骤。
步骤 1：构造恶意 JSON 数据
在 Fastjson 中，反序列化过程会自动调用 Java 类的构造函数并执行反射操作。如果某个类的构造方法或者静态代码块中包含了可执行的代码（例如利用了 Runtime.getRuntime().exec() 执行命令），那么攻击者就可以通过精心构造的 JSON 数据来触发这些代码。
一个典型的恶意 JSON 数据的例子（通过 Fastjson 漏洞触发 RCE）：
{
"type": "java.lang.Runtime",
"method": "getRuntime",
"exec": "calc.exe"
}
上面的 JSON 数据意图执行 calc.exe 程序。
步骤 2：复现漏洞
在目标应用程序中，Fastjson 会反序列化这些数据。如果应用没有严格控制反序列化的类，那么攻击者可以通过发送该恶意 JSON 数据触发执行。
代码示例（Java）：
import com.alibaba.fastjson.JSON;
public class FastjsonRCE {
public static void main(String[] args) {
// 漏洞示例：从字符串反序列化成对象
String json = "{\"type\":\"java.lang.Runtime\",\"method\":\"getRuntime\",\"exec\":\"calc.exe\"}";
Object obj = JSON.parseObject(json);
System.out.println(obj);
}
}
当你运行上面的代码时，Runtime.getRuntime().exec("calc.exe") 可能会在某些环境下被触发，从而启动计算器程序。
步骤 3：修复和防范
为了避免此类反序列化漏洞，Fastjson 提供了几个防护机制。确保启用了以下防护措施：
-
升级 Fastjson：首先确保使用的 Fastjson 库是最新的版本。Fastjson 在某些版本中修复了这类漏洞，因此最好是使用最新的稳定版本。
-
启用安全模式： Fastjson 提供了一个安全模式 (
autoType) 来防止类被反序列化。你可以通过配置来禁用autoType特性。// 禁用 autoType 特性 ParserConfig.getGlobalInstance().setAutoTypeSupport(false); -
白名单机制：启用 Fastjson 的白名单机制，明确允许反序列化的类类型，避免任何不受信任的类参与反序列化过程。
// 只允许反序列化特定的类 ParserConfig.getGlobalInstance().addAccept("com.example.MyClass"); -
其他防护措施：如使用沙箱环境、输入验证、数据白名单等。
漏洞复现的合法性与风险
-
合法授权：仅在合法授权的测试环境中进行漏洞复现，切勿在未经授权的系统上尝试复现漏洞。
-
对生产环境的影响：漏洞复现可能会对系统产生不可预料的影响，特别是在生产环境中，因此务必在隔离的测试环境中进行。
-
漏洞修复：如果你发现某个应用存在类似 Fastjson 的反序列化漏洞，及时通知相关团队进行修复，并避免在生产环境中暴露有漏洞的组件。
结论
Fastjson 的反序列化漏洞曾在多个版本中存在过，特别是 autoType 特性没有得到充分控制时。如果你正在开发基于 Fastjson 的应用，务必确保使用最新版本的库，并采取适当的安全措施（如禁用 autoType、白名单机制等）。
