红队攻防渗透技术实战流程：组件安全：Jackson&FastJson&XStream

红队攻防渗透实战

• 1. 组件安全
• • 1.1 J2EE-组件Jackson-本地demo&CVE
  • • 1.1.1 代码执行 (CVE-2020-8840)
    • 1.1.2 代码执行（CVE-2020-35728）
  • 1.2 J2EE-组件FastJson-本地demo&CVE
  • • 1.2.1 FastJson <= 1.2.24
    • 1.2.2 FastJson <= 1.2.47
    • 1.2.3 FastJson <= 1.2.80
  • 1.3 J2EE-组件XStream-本地demo&CVE
  • • 1.3.1 代码代码执行 (CVE-2021-21351)
    • 1.3.2 远程代码执行（CVE-2021-29505）

1. 组件安全

常见语言开发组件：(Java)
Apache Solr、Apache Shiro、Apache Struts2、Apache Flink、Flume、Dubbo、Redis、Logstash、ElasticSearch、Kafka、Ghidra、Minecraft、Apache hive、Datax、Streaming、Dolphin Scheduler、Storm、Spring、Aibaba FastJson、Jackson、Log4J、XSteam等。

黑盒检测：Java应用 请求参数数据以json/xml格式发送测试
黑盒判断：通过提交数据报错信息得到什么组件
xml格式(xstream) 或 json 格式（fastjson jackson）
白盒：直接看引用组件版本

1.1 J2EE-组件Jackson-本地demo&CVE

当下流行的json解释器，主要负责处理Json的序列化和反序列化。

历史漏洞：https://avd.aliyun.com/search?q=Jackson

1.1.1 代码执行 (CVE-2020-8840)

2.0.0 <= FasterXML jackson-databind Version