fastjson

4ra1n · 4ra1n · commit 80e017b8ee75 · 2022-02-15T22:44:21.000+08:00
diff --git a/README.md b/README.md
@@ -18,13 +18,13 @@
 
 ## 分类
 
-当前问题总数：58
+当前问题总数：62
 
 [Java本身的安全问题 - 15个](https://github.com/4ra1n/JavaSecInterview/tree/master/java)
 
 [Shiro框架相关的安全问题 - 8个](https://github.com/4ra1n/JavaSecInterview/tree/master/shiro)
 
-[Fastjson组件相关的安全问题 - 8个](https://github.com/4ra1n/JavaSecInterview/tree/master/fastjson)
+[Fastjson组件相关的安全问题 - 12个](https://github.com/4ra1n/JavaSecInterview/tree/master/fastjson)
 
 [Log4j2组件相关的安全问题 - 7个](https://github.com/4ra1n/JavaSecInterview/tree/master/log4j2)
 
@@ -48,5 +48,4 @@ https://www.cnpanda.net/
 
 https://gv7.me/
 
-
-
+https://github.com/safe6Sec/Fastjson
diff --git a/fastjson/README.md b/fastjson/README.md
@@ -44,7 +44,7 @@
 
 
 
-- 谈谈1.2.47版本之前的绕过（★★★）
+- 谈谈1.2.47版本之前各个小版本的绕过（★★★）
 
 首先是利用解析问题可以加括号或大写L绕过低版本，高版本利用了哈希黑名单，之所以要哈希是因为防止黑客进行分析。但黑名单还是被破解了，有师傅找到可以绕过了类。在1.2.47版本中利用缓存绕过
 
@@ -56,4 +56,64 @@
 
 除了这种方式，还可以自行实现虚假的`JNDI Server`作为反连平台，用`JdbcRowSetImpl`这样的`Payload`来触发
 
-如果不能出网，可以结合不出网的利用方式和中间件的回显手段，执行无害命令检测，或利用报错回显
+如果不能出网，可以结合不出网的利用方式和中间件的回显手段，执行无害命令检测，或利用报错回显
+
+
+
+- 谈谈1.2.68版本的绕过（★★）
+
+1.2.68之前的66和67可以利用`JNDI`相关类，比如`Shiro`的`JndiObjectFactory`和`ignite`项目的类
+
+1.2.68中有一个期望类属性，实现了期望接口的类可以被反序列化
+
+利用类必须是`expectClass`类的子类或实现类，并且不在黑名单中，即可直接绕过`AutoType`检测，例如常见的`AutoCloseable`
+
+这样的Payload通常第一个`@type`是`AutoCloseable`等合法类，第二个`@type`是恶意类，后续参数是恶意类需要的参数
+
+
+
+- 谈谈Fastjson的WAF Bypass手段（★★★）
+
+Fastjson默认会去除键值外的空格、\b、\n、\r、\f等字符，同时还会自动将键值进行`unicode`与十六进制解码
+
+例如针对`@type`的绕过：`\u0040\u0074\u0079\u0070\u0065`
+
+加入特殊字符的绕过：`{\n"@type":"com.sun.rowset.JdbcRowSetImpl"...}`
+
+
+
+- 除了RCE还能有什么利用（★★★）
+
+信息泄露或者ReDoS，参考下方Payload
+
+```json
+{
+    "regex":{
+        "$ref":"$[\blue = /\^[a-zA-Z]+(([a-zA-Z ])?[a-zA-Z]*)*$/]"
+    },
+    "blue":"aaaaaaaaaaaaaaaaaaaaaaaaaaaa!"
+}
+```
+
+还可以实现写文件，例如以下这个针对1.2.68写文件的Payload
+
+```json
+{
+  "@type": "java.lang.AutoCloseable",
+  "@type": "java.io.FileOutputStream",
+  "file": "/tmp/nonexist",
+  "append": "false"
+}
+```
+
+
+
+- 是否了解自动挖掘Fastjson利用链的方式（★★★★）
+
+利用链主要集中在`getter`和`setter`方法中，如果`getter`或者`setter`的方法中存在一些危险操作比如`JNDI`查询，如果参数可控就可以导致`JNDI`注入
+
+简单来说，直接搜对应项目中`JNDI`的`lookup`方法，可以基于`ASM`解压分析`Jar`包，这种半自动结合人工审核的方式其实很好用（之前挖到过几个）
+
+进一步来说，全自动的方式可以使用`codeql`或`gadget-inspector`工具来做，主要是加入了污点传递，分析`getter/setter`参数如何传递到`lookup`
+
+关闭全自动分析原理，一般面试官不会问太深入，因为可能涉及到静态分析相关的技术，普通安服崽的面试不会太过深入，如果是实验室可能需要再学习一下
