FastJson反序列化漏洞利用的三个细节 - TemplatesImpl的利用链
0. 前言记录在FastJson反序列化RCE漏洞分析和利用时的一些细节问题。 1. TemplatesImpl的利用链关于 parse 和 parSEObjectFastJson中的 parse() 和 parSEObject()方法都可以用来将JSON字符串反序列化成Java对象，parSEObject() 本质上也是调用 parse() 进行反序列化的。但是 parSEObject() 会额外的将Java对象转为 JSONObject对象，即 JSON.toJSON()。所以进行反序列化时的细节区别在于，parse() 会识别并调用目标类的 setter 方法及某些特定条件的 getter 方法，而 parSEObject() 由于多执行了 JSON.toJSON(obj)，所以在处理过程中会调用反序列化目标类的所有 setter 和 getter 方法。parSEObject() 的源代码如下： public static JSONObject parSEObject(String text) { Object obj = parse(text); if (obj instanceof JSONObject) { return (JSONObject) obj; } return (JSONObject) JSON.toJSON(obj); }
举个简单的例子： public class FastJsonTest { public String name; public String age; public FastJsonTest() throws IOException{ } public void setName(String test) { System.out.println("name setter called"); this.name = test; } public String getName() { System.out.println("name getter called"); return this.name; } public String getAge(){ System.out.println("age getter called"); return this.age; } public static void main(String[] args) { Object obj = JSON.parse("{"@type":"fastjsontest.FastJsonTest","name":"thisisname","age":"thisisage"}"); System.out.println(obj); Object obj2 = JSON.parSEObject("{"@type":"fastjsontest.FastJsonTest","age":"thisisage"}"); System.out.println(obj2); } }
上述代码运行后可以看到，执行parse() 时，只有 setName() 会被调用。执行parSEObject() 时，setName()、getAge()、getName() 均会被调用。 为什么会触发getOutputProperties()感觉上 parse() 进行反序列化创建Java类应该只会调用 setter 方法进行成员变量赋值才对，会什么会触发TemplatesImpl类中的 getOutputProperties() 方法呢？ 另外 _outputProperties 成员变量和 getOutputProperties() 明明差了一个 如上一小节所述，parse() 进行反序列化时其实会调用某些特定的 getter 方法进行字段解析，而 TemplatesImpl类中的 getOutputProperties() 方法恰好满足这一条件。 FastJson反序列化到Java类时主要逻辑如下：
我们先看第一步，这里由 JavaBeanInfo.build() 进行处理，FastJson会创建一个filedList数组，用来保存目标Java类的成员变量以及相应的setter或getter方法信息，供后续反序列化字段时调用。 filedList大致结构如下： [
{
name:"outputProperties",method:{
clazz:{},name:"getOutputProperties",returnType:{},...
}
}
]
FastJson并不是直接反射获取目标Java类的成员变量的，而是会对setter、getter、成员变量分别进行处理，智能提取出成员变量信息。逻辑如下：
可以看到在 JavaBeanInfo.build() 中，有一段代码会对getter方法进行判断，在某些特殊条件下，会从getter方法中提取出成员变量名并附加到filedList数组中。而TemplatesImpl类中的 getOutputProperties() 正好满足这个特定条件。getter方法的处理代码为： JavaBeanInfo.java public static JavaBeanInfo build(Class<?> clazz,Type type,PropertyNamingStrategy propertyNamingStrategy) { ... for (Method method : clazz.getMethods()) { // getter methods String methodName = method.getName(); if (methodName.length() < 4) { continue; } if (Modifier.isStatic(method.getModifiers())) { continue; } if (methodName.startsWith("get") && Character.isUpperCase(methodName.charAt(3))) { if (method.getParameterTypes().length != 0) { continue; } // 关键条件 if (Collection.class.isAssignableFrom(method.getReturnType()) // || Map.class.isAssignableFrom(method.getReturnType()) // || AtomicBoolean.class == method.getReturnType() // || AtomicInteger.class == method.getReturnType() // || AtomicLong.class == method.getReturnType() // ) { String propertyName; JSONField annotation = method.getAnnotation(JSONField.class); if (annotation != null && annotation.deserialize()) { continue; } if (annotation != null && annotation.name().length() > 0) { propertyName = annotation.name(); } else { propertyName = Character.toLowerCase(methodName.charAt(3)) + methodName.substring(4); } FieldInfo fieldInfo = getField(fieldList,propertyName); if (fieldInfo != null |