https://github.com/lemono0/FastJsonParty
FastJson全版本Docker漏洞环境(涵盖1.2.47/1.2.68/1.2.80等版本)，主要包括JNDI注入及高版本绕过、waf绕过、文件读写、原生反序列化、利用链探测绕过、不出网利用等。从黑盒的角度覆盖FastJson深入利用
https://github.com/lemono0/FastJsonParty
Last synced: about 2 months ago
JSON representation
FastJson全版本Docker漏洞环境(涵盖1.2.47/1.2.68/1.2.80等版本)，主要包括JNDI注入及高版本绕过、waf绕过、文件读写、原生反序列化、利用链探测绕过、不出网利用等。从黑盒的角度覆盖FastJson深入利用
- Host: GitHub
- URL: https://github.com/lemono0/FastJsonParty
- Owner: lemono0
- Created: 2023-08-15T09:29:27.000Z (about 2 years ago)
- Default Branch: main
- Last Pushed: 2024-07-12T13:26:47.000Z (over 1 year ago)
- Last Synced: 2024-09-11T03:44:32.868Z (about 1 year ago)
- Language: Python
- Homepage:
- Size: 33.7 MB
- Stars: 802
- Watchers: 9
- Forks: 93
- Open Issues: 1
-
Metadata Files:
- Readme: README.md
Awesome Lists containing this project
- awesome-hacking-lists - lemono0/FastJsonParty - FastJson全版本Docker漏洞环境(涵盖1.2.47/1.2.68/1.2.80等版本)，主要包括JNDI注入及高版本绕过、waf绕过、文件读写、原生反序列化、利用链探测绕过、不出网利用等。从黑盒的角度覆盖FastJson深入利用 (Python)
README
# FastJsonParty
FastJson全版本Docker漏洞环境(涵盖1.2.47/1.2.68/1.2.80等版本)，主要包括JNDI注入、waf绕过、文件读写、原生反序列化、利用链探测绕过、不出网利用等。设定场景为黑盒利用，从黑盒的角度覆盖FastJson深入利用全过程，部分环境需要给到jar包反编译分析。
Docker环境，开箱即用。
环境启动：`docker compose up -d`
若docker拉取环境缓慢，请尝试使用国内镜像
https://www.runoob.com/docker/docker-mirror-acceleration.html
环境启动后，访问对应ip的80端口：
总结了一些关于FastJson全版本常用漏洞利用Poc,可搭配食用：[Fastjson全版本检测及利用-Poc](Fastjson全版本检测及利用-Poc.md)
环境使用后请销毁,否则可能会冲突：`docker compose down`
整理一下靶场顺序：(根据利用特点分成三个大类)
## FastJson 1.2.47
[1247-jndi](1247-jndi)
[1247-jndi-waf](1247-jndi-waf)
[1247-waf-c3p0](1247-waf-c3p0)
[1245-jdk8u342](1245-jdk8u342)
## FastJson 1.2.68
[1268-readfile](1268-readfile)
[1268-jkd11-writefile](1268-jkd11-writefile)
[1268-jdk8-writefile](1268-jdk8-writefile)
[1268-writefile-jsp](1268-writefile-jsp)
[1268-writefile-no-network](1268-writefile-no-network)
[1268-jdbc](1268-jdbc)
1268写文件利用另外写了一篇，可搭配使用：[FastJson1268写文件RCE探究](FastJson1268写文件RCE探究.md)
## FastJson 1.2.80
[1280-groovy](1280-groovy)
[1283-serialize](1283-serialize)
每个机器根目录下都藏有flag文件，去尝试获取吧！
部分环境wp目前还未给出,打算过段时间放出，也欢迎提交你的wp和建议。
And Enjoy FastJson Party!