Fastjson 1.2.68 AutoCloseable 利用链深度分析<\/h1>

前言<\/h2>
Fastjson 反序列化漏洞的核心在于绕过 `checkAutoType()<\/code> 函数的检测机制。随着版本更新，Fastjson 加入了针对 ClassLoader<\/code>、DataSource<\/code>、RowSet<\/code> 等类或接口的继承\/实现检测，大大增加了 JNDI 注入的利用难度。本文深入分析 Fastjson 1.2.68 版本中通过 AutoCloseable<\/code> 接口实现的利用链。<\/p>`

原理分析<\/h2>
基本利用原理<\/h3>

恶意类构造<\/strong>：首先构造一个实现 AutoCloseable<\/code> 接口的恶意类<\/li>
POC 构造<\/strong>：通过特定 JSON 结构触发反序列化漏洞<\/li>
绕过机制<\/strong>：利用 AutoCloseable<\/code> 接口绕过 checkAutoType()<\/code> 检测<\/li>
<\/ol>
详细绕过流程<\/h3>


第一次 checkAutoType<\/code> 调用<\/strong>：<\/p>

传入 AutoCloseable<\/code> 类进行校验<\/li>
expectClass<\/code> 参数为 null<\/li>
直接从缓存 Mapping<\/code> 中获取 AutoCloseable<\/code> 类<\/li>
通过内部判断后直接返回 AutoCloseable<\/code> 类<\/li>
<\/ul>
<\/li>

获取反序列化器<\/strong>：<\/p>

根据 AutoCloseable<\/code> 类获取 JavaBeanDeserializer<\/code><\/li>
调用 deserialze()<\/code> 方法开始反序列化<\/li>
<\/ul>
<\/li>

第二次 checkAutoType<\/code> 调用<\/strong>：<\/p>

解析 POC 中的实际恶意类（如 VulAutoCloseable<\/code>）<\/li>
设置 expectClass<\/code> 为 java.lang.AutoCloseable<\/code><\/li>
由于 AutoCloseable<\/code> 不在黑名单中，设置 expectClassFlag<\/code> 为 true<\/li>
进入 AutoType 开启时的检测逻辑<\/li>
通过 loadClass()<\/code> 加载目标类（不开启缓存）<\/li>
检查目标类是否是 expectClass<\/code> 的子类\/实现类<\/li>
如果是则添加到 Mapping<\/code> 缓存并返回该类<\/li>
<\/ul>
<\/li>

触发执行<\/strong>：<\/p>

成功返回恶意类并触发执行<\/li>
<\/ul>
<\/li>
<\/ol>
漏洞利用<\/h2>
利用条件<\/h3>

目标类需要实现 AutoCloseable<\/code> 接口<\/li>
InputStream<\/code> 和 OutputStream<\/code> 都实现了 AutoCloseable<\/code> 接口且不在黑名单中<\/li>
需要找到合适的 gadget 链组合<\/li>
<\/ol>
Gadget 构造思路<\/h3>


文件路径指定<\/strong>：<\/p>

需要一个通过 set 方法或构造方法指定文件路径的 OutputStream<\/code><\/li>
<\/ul>
<\/li>

数据写入<\/strong>：<\/p>

需要一个通过 set 方法或构造方法传入字节数据的 OutputStream<\/code><\/li>
能够通过 set 方法或构造方法传入一个 OutputStream<\/code><\/li>
可以通过 write 方法将传入的字节码写入到传入的 OutputStream<\/code><\/li>
<\/ul>
<\/li>

触发机制<\/strong>：<\/p>

需要一个通过 set 方法或构造方法传入一个 OutputStream<\/code><\/li>
能够通过调用 toString<\/code>、hashCode<\/code>、get<\/code>、set<\/code> 或构造方法调用传入的 OutputStream<\/code> 的 flush<\/code> 方法<\/li>
<\/ul>
<\/li>
<\/ol>
具体利用方式<\/h3>
1. 删除文件<\/h4>
利用特定类实现文件删除或清空：<\/p>

在 Windows 上需要 JDK11 以上<\/li>
在 RedHat 和 CentOS 下 JDK8 即可<\/li>
<\/ul>
注意<\/strong>：Fastjson 在类没有无参数构造函数时，会检查带参构造函数的参数是否有参数名信息，只有包含参数名的构造函数才会被认可。<\/p>
检查方法：<\/p>
javap -v YourClass.class | grep LocalVariableTable
<\/span><\/span><\/code><\/pre>2. 文件写入（方法一）<\/h4>
依赖<\/strong>：需要两个第三方依赖<\/p>
Payload 结构<\/strong>：<\/p>
{
<\/span><\/span>  "@type"<\/span>: "java.lang.AutoCloseable"<\/span>,
<\/span><\/span>  "@type"<\/span>: "com.example.VulAutoCloseable"<\/span>,
<\/span><\/span>  "file"<\/span>: "\/path\/to\/file"<\/span>,
<\/span><\/span>  "data"<\/span>: "base64_encoded_data"<\/span>
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>执行流程<\/strong>：<\/p>

实例化 FileOutputStream<\/code> 创建文件<\/li>
实例化 FastOutputStream<\/code> 进行赋值<\/li>
实例化 SnappyOutputStream<\/code> 调用 write 方法<\/li>
最终完成文件写入<\/li>
<\/ol>
3. 文件写入（方法二）<\/h4>
特点<\/strong>：仅需自带库，无需额外依赖<\/p>
Payload 结构<\/strong>：<\/p>
{
<\/span><\/span>  "@type"<\/span>: "java.lang.AutoCloseable"<\/span>,
<\/span><\/span>  "@type"<\/span>: "com.sun.org.apache.xml.internal.security.utils.JavaUtils"<\/span>,
<\/span><\/span>  "file"<\/span>: "\/path\/to\/file"<\/span>,
<\/span><\/span>  "data"<\/span>: "zlib_compressed_data"<\/span>
<\/span><\/span>}
<\/span><\/span><\/code><\/pre>数据准备<\/strong>：

需要使用 openssl zlib 方式压缩数据<\/p>
执行流程<\/strong>：<\/p>

实例化 FileOutputStream<\/code> 创建文件<\/li>
实例化 InflaterOutputStream<\/code>（包含压缩数据）<\/li>
实例化 MarshalOutputStream<\/code><\/li>
调用父类构造函数设置 block data mode<\/li>
最终调用 InflaterOutputStream<\/code> 的 write 方法写入数据<\/li>
<\/ol>
4. RCE 利用<\/h4>
结合文件写入功能可以实现远程代码执行，具体可参考相关文章。<\/p>
防御建议<\/h2>

升级到 Fastjson 最新版本<\/li>
关闭 AutoType 功能<\/li>
使用白名单机制限制反序列化类<\/li>
监控可疑的文件操作行为<\/li>
<\/ol>
参考资源<\/h2>

浅蓝师傅的分析文章<\/a><\/li>
scz 师傅的技术文档<\/a><\/li>
Rmb122 师傅的挖掘笔记<\/a><\/li>
<\/ol>

Fastjson 1.2.68 AutoCloseable 利用链深度分析<\/h1>

漏洞利用<\/h2>

具体利用方式<\/h3>

4. RCE 利用<\/h4> 结合文件写入功能可以实现远程代码执行，具体可参考相关文章。<\/p>

参考资源<\/h2> 浅蓝师傅的分析文章<\/a><\/li> scz 师傅的技术文档<\/a><\/li> Rmb122 师傅的挖掘笔记<\/a><\/li> <\/ol>

4. RCE 利用<\/h4>
结合文件写入功能可以实现远程代码执行，具体可参考相关文章。<\/p>

参考资源<\/h2>

浅蓝师傅的分析文章<\/a><\/li>
scz 师傅的技术文档<\/a><\/li>
Rmb122 师傅的挖掘笔记<\/a><\/li> <\/ol>