【技术分享】jackson反序列化详细分析-安全客

预估稿费：300RMB

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

前言

这是今年四月份被公开的jackson反序列化漏洞，不过目前看来利用比较鸡肋，本篇只以技术学习的角度来分析这个漏洞，如有问题，还望大牛批评指出。

漏洞情况

Jackson是一套开源的java序列化与反序列化工具框架，可将java对象序列化为xml和json格式的字符串及提供对应的反序列化过程。该漏洞的触发条件是ObjectMapper反序列化前调用了enableDefaultTyping方法。该方法允许json字符串中指定反序列化java对象的类名，而在使用Object、Map、List等对象时，可诱发反序列化漏洞，导致可执行任意命令。

影响版本

Jackson 2.7(<2.7.10)

Jackson 2.8(<2.8.9)

环境

Jackson-2.8.8.jar

Jdk1.7.0_45(这里分析使用jdk1.7，不能使用jdk1.8之上的版本，后面会解释说明)。

我们先看下漏洞的poc。

User.java:

Exp.java:

Main.java:

首先jackson会解析要转化json数据中的类，提取出类的变量和相应方法。我们在

BeamnPropertyMap.class->init(Collection<SettableBeanProperty> props)最后

_hashArea = hash处下上断点可以看出User.class的信息。

然后BeanDeserializer.class->vanillaDeserialize()函数，该函数会遍历json数据的key-value，

并将类中key变量设置为value值。

根据构造的json数据，jackson会首先设置User类object的值。

由于object的值是com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl。

Jackson会首先设置TemplatesImpl相关变量。

程序再次进入BeamnPropertyMap.class->init(Collection<SettableBeanProperty> props)，在_hashArea中我们可以看到TemplatesImpl类的相关信息。

其中有三个是我们通过json传入得参数，其对应的函数分别为

transletBytecodes :  private synchronized void com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl.setTransletBytecodes(byte[][]),
outputProperties:  public synchronized java.util.Properties com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl.getOutputProperties(),
transletName:  protected synchronized void com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl.setTransletName(java.lang.String),

然后程序进入vanillaDeserialize函数，按照我们构造json数据的key的顺序开始设置value值。

然后进入deserializeAndSet()函数,先调用setTransletBytecodes()函数设置

transletBytecodes的值。此时value值就是我们的exp数据。

然后调用setTransletName()函数设置transletName的值，此时的value就是我们传入得”p”.

最后一次循环处理key为outputProperties的情况。程序执行了getOutputProperties()方法。弹出计算器。

为什么执行getOutputProperties()函数后就算执行我们的exp呢（这里弹出计算器）,这里其实就是反序列化payload的构造问题了。这里是通过TemplatesImpl类来实现的反序列化利用的。其实就是TemplatesImpl中有个_bytecodes变量，用来存放类的字节的，当我们调用getOutputProperties()函数，就会加载bytecodes中的类，执行了我们的代码。相关内容具体可参考：http://drops.xmd5.com/static/drops/papers-14317.html这篇文章。

新版本的2.8.9就对反序列化所用的一些类进行了过滤:

添加了一个函数判断，来检测是否加载的类为反序列化漏洞常用类，如果是则报错。

现在回到一开始说的jdk的问题，最初测试时我是在jdk1.8.0_45环境下测试的，发现无法弹出计算器。然后又用了jdk1.7才弹出计算器的。

想想应该是jdk1.7到jdk1.8，com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl类有了变化，才导致反序列化利用失败的。

为了找到原因，我看了下jdk1.7 和jdk1.8中com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl类调用getOutputProperties()执行流程有什么变化。

发现在getOutputProperties()调用后，执行defineTransletClasses()时两个版本有所区别。

Jdk1.7:

Jdk1.8:

可以看到jdk1.8多了个_tfactory.getExternalExtensionsMap()的处理。我们在jdk1.8的环境下跟踪下程序，发现到这里_tfactory的值为null,所以执行_tfactory.getExternalExtensionsMap()函数时会出错，导致程序异常，不能加载_bytecodes的中的类。