Fastjson 1.2.80 反序列化利用链分析

该漏洞由浅蓝研究发现，可在特定条件下绕过 AutoType 关闭限制加载远程对象进行反序列化。

影响版本： 特定依赖存在下影响 ≤1.2.80。

漏洞公告：

https://github.com/alibaba/fastjson/wiki/security_update_20220523

1. Fastjson 1.2.80

2. Groovy 3.0.8

3. JDK 8u12

在 pom.xml中导入依赖：

<dependency>
      <groupId>com.alibabagroupId>
      <artifactId>fastjsonartifactId>
      <version>1.2.80version>
dependency>

<dependency>
      <groupId>org.codehaus.groovygroupId>
      <artifactId>groovy-allartifactId>
      <version>3.0.8version>
dependency>

起一个服务端，把恶意类的 class 文件放到根目录下，再创建一个META-INF/services/org.codehaus.groovy.transform.ASTTransformation文件，在文件中写入恶意类的名称；

 python -m http.server 8081

POC，classpathList为远程服务端地址；

命令执行成功；

在parseObject()中获取到第一个@type字段中的类名，带入checkAutoType()；

从mapping中获取到了 clazz，然后返回java.lang.Exception；

因为java.lang.Exception是继承 Throwable 类的，所以获取到的是ThrowableDeserializer类型的deserializer；
 这里目的是要利用ThrowableDeserializer.deserializer()中调用的checkAutoType()方法中第二个参数不为 null ，和 1.2.68 版本的绕过原理一样；

跟进deserialze()，获取到第二个@type字段中的类名，带入checkAutoType()；

跟进，expectClass参数值为Throwable.class，所以expectClassFlag赋为 true；

然后进行黑名单校验，CompilationFailedException不在黑名单中，能顺利通过校验；

因为expectClassFlag为 true， 所以在1185 行加载了CompilationFailedException，可以绕过后面对 AutoType 的校验，并且 1190 行把它添加进了 mapping；

跟进到ThrowableDeserializer.deserialze()，调用了cast()，成员变量类型是ProcessingUnit；

跟进TypeUtils.cast()，调用castToJavaBean();

获取到JavaBeanDeserializer类型的deserializer；

获取到deserializer之后，把org.codehaus.groovy.control.ProcessingUnit put 进了this.deserializers，这是后面绕过 AutoType 校验的关键！

1195 行进行实例化，实例化的结果是 null ；

返回 null 值，调用setValue()进行赋值，由于值为 null ，抛出异常；

然后进入 POC 的 catch 分支，反序列化 poc2。

获取到第一个@type字段，带入checkAutoType()；

因为前面 把ProcessingUnit put 进this.deserializers了，所以这里可以直接从this.deserializers中找到ProcessingUnit，返回 clazz；

获取到JavaBeanDeserializer类型的deserializer，调用deserialze()；

ref是第二个@type值JavaStubCompilationUnit，expectClass是ProcessingUnit类，带入checkAutoType()；

跟进，expectClassFlag为true，在 1185 行加载JavaStubCompilationUnit，并且将它添加进 mapping；

调用JavaBeanDeserializer.deserialze()；

跟进调用了parseField()；

跟进调用了deserialze()，返回的value是 CompilerConfiguration 类型，并且把传入的远程地址赋给了classpath；

117 行又把整个 CompilerConfiguration 对象赋给JavaStubCompilationUnit的config参数；

在 982 行的 for 循环中，从fieldValues中获取参数值存入params[]中，因为我们只给config传了值，所以params[]只有一个参数值；

1044 行 new 了一个JavaStubCompilationUnit对象；

JavaStubCompilationUnit 的构造方法有三个参数，第一个参数是我们自定义的，第二个参数是调用setClassLoader()获取的，第三个参数是 null；
 setClassLoader()中 new 了 GroovyClassLoader 对象；

跟到GroovyClassLoader的构造方法，从config中获取classpath添加进GroovyClassLoader对象；

返回到CompilationUnit构造方法，184 行调用了addPhaseOperations()，跟进再调用了ASTTransformationVisitor.addPhaseOperations() ；

跟进addGlobalTransforms() -> doAddGlobalTransforms()，transformLoader是从JavaStubCompilationUnit对象中获取到的GroovyClassLoader；
 使用getResource()从加载器中获取META-INF/services/org.codehaus.groovy.transform.ASTTransformation文件下的资源

跟进getResource()，可以看到，加载资源遵循双亲委派型，会首先委托父类加载器，委托到启动类加载器时，会从 Bootstrap classpath 对应的 jar 包或目录中加载资源；

getBootstrapClassPath()最终获取到的是bcp字段的值，也就是说从bcp中的 jar 包中加载资源；

然后调用findResources()，跟进，再调用ucp的findResources()，ucp是 URLClassPath 类型，一共会调用三次ucp.findResources()，每次的ucp都不一样；

因为每次的类加载器不一样，所以 ucp 不一样，第三次使用的是GroovyClassLoader，而GroovyClassLoader中含有指定的classpath http://127.0.0.1:8081/，所以会从远程地址加载资源；

资源加载进来后，就开始逐行读取每个资源的内容，把不以#开头的行放到transformNames中；

循环到第三次globalServices时，transformNames中已经有四个值了；

接着探测远程地址的资源，跟进hasMoreElements() -> next() -> 第二次的hasMoreElements() -> next() -> e.hasMoreElements() -> next()；

跟进findResource()，创建了与远程地址资源的 http 连接，设置请求头为HEAD，对远程资源进行探测；

然后读取远程资源，使用了URLStreams.openUncachedStream()；

跟进可以看到调用getInputStream()，向远程资源发起了 http 请求；

命令行中可以看到两次请求的记录；

然后也是将远程资源中的内容读到transformNames中，这样就获取到恶意类的名称；

接着下面调用addPhaseOperationsForGlobalTransforms()；

跟进，在该方法中依次加载并实例化了transformNames中的所有类；

校验了加载的类上是否含有@GroovyASTTransformation注解，所以在构造恶意类时要加上注解；
 并且得实现或继承ASTTransformation接口，所以恶意类要实现ASTTransformation，然后实例化触发命令执行。

1. Fastjson 1.2.80

2. jython 1.1

3. spring-context 5.0.2.RELEASE

4. postgresql 42.3.0 (42.3.0 < 版本 < 42.3.2)

在 pom.xml中添加如下依赖：

利用org.springframework.context.support.ClassPathXmlApplicationContext来加载远程指定的 XML 配置文件，在配置文件中定义一个 bean ，bean 中通过使用 Spring EL 表达式来调用java.lang.ProcessBuilder的start()方法来执行命令。

构造 bean 文件spel.xml：

起一个服务端，把 bean 文件放在根目录下；

构造POC：

1. Fastjson 1.2.80

2. aspectj 1.8.6

在pom.xml中导入依赖：

会在TypeUtils.castToJavaBean()中返回一个代理对象，并不会像前两条链一样将ICompilationUnit put 进this.deserializer；

所以 jsonStr1 中不添加newAnnotationProcessorUnits参数，它的作用是把SourceTypeCollisionException添加进mapping，以便后面使用。

MiscCodec.deserialze()中调用了toJavaObject()，可以把 JSON对象转换成 Java 对象，然后把该参数类型 put 进this.deserializer；
 MapDeserializer.deserialze()可以把传入的各参数的值赋给对应的对象；

jsonStr2 中 各类对应的deserializer如下：

jsonStr2 的作用就是将org.aspectj.org.eclipse.jdt.internal.compiler.env.ICompilationUnit类型 put 进this.deserializer；
 同时构造 json 语法错误，使之抛出异常，进入下一个反序列化。

jsonStr3 的作用就是利用BasicCompilationUnit类中的getContents()方法来读取文件内容；
 “x”:{}的作用是将BasicCompilationUnit对象序列化为 JSON 数据，否则输出结果如下：