本篇文章给大家分享的是有关怎么进行Fastjson JtaTransactionConfig远程代码执行漏洞分析，小编觉得挺实用的，因此分享给大家学习，希望大家阅读完这篇文章后可以有所收获，话不多说，跟着小编一起来看看吧。fastjson是一个Java语言编写的高性能功能完善的JSON库。它采用一种“假定有序快速匹配”的算法，把JSON Parse的性能提升到极致，是目前Java语言中最快的JSON库。fastjson接口简单易用，已经被广泛使用在缓存序列化、协议交互、Web输出、Android客户端等多种应用场景。fastjson远程代码执行漏洞是由于使用com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig类，绕过了fastjson的黑名单而导致。当服务端加载了存在受漏洞影响的ibatis-sqlmap依赖，并且开启了fastjson的autotype时，远程攻击者可以通过构造的攻击代码触发远程代码执行漏洞，最终可以获取到服务器的控制权限。以fastjson1.2.62 + ibatis-sqlmap-2.3.4.726作为漏洞环境分析。传入构造好的payload，经过JSON免费云主机域名类中的parse方法的解析入口，如下图：在JSONObject类中进行格式解析和特殊字符检测。继续跟进处理的过程，当获取到@type传入的类名后，会通过checkAutoType方法检查@type传入的类是否在黑名单中，如果黑名单中存在此类名，直接抛出异常退出程序。如下图：继续跟进，payload中的json格式数据会在JSONScanner类中进行字段名匹配，如果字段名匹配成功，则将对应的参数值传入，为对应属性赋值，代码如下图：进入@type指定的com.ibatis.sqlmap.engine.transaction.jta.JtaTransactionConfig类中，通过setProperties类，为utxName变量赋值。此时utxName的值是从json数据中传入的UserTransaction参数值。当我们在UserTransaction参数中传入恶意地址，经过lookup方法进行访问，服务器就可以远程加载恶意文件。至此漏洞利用过程基本完成。搭建fastjson1.2.66 + ibatis-sqlmap-2.3.4.726漏洞环境，传入精心构造的json数据，让目标服务器加载远程主机上的恶意文件，从而在目标主机上执行任意代码。效果如图：目前受影响的fastjson版本：fastjson1.fastjson默认关闭autotype，如果项目中不需要该功能，可以删除以下代码：以上就是怎么进行Fastjson JtaTransactionConfig远程代码执行漏洞分析，小编相信有部分知识点可能是我们日常工作会见到或用到的。希望你能通过这篇文章学到更多知识。更多详情敬请关注云编程开发博客行业资讯频道。
本篇文章给大家分享的是有关CVE-2020-1362之如何处理漏洞，小编觉得挺实用的，因此分享给大家学习，希望大家阅读完这篇文章后可以有所收获，话不多说，跟着小编一起来看看吧。WalletService 服务是 windows 上用来持有钱包客户端所使用的对象…
免责声明：本站发布的图片视频文字，以转载和分享为主，文章观点不代表本站立场，本站不承担相关法律责任；如果涉及侵权请联系邮箱：360163164@qq.com举报，并提供相关证据，经查实将立刻删除涉嫌侵权内容。
微信扫一扫 
