1.Dubbo源码解析：网络通信
2.fastjson 1.2.24源码分析以及漏洞复现

Dubbo源码解析：网络通信

       在之前的章节中，我们探讨了消费者如何通过内置的负载均衡找到服务提供者以及服务暴露的原理。本节重点关注的是消费者如何通过网络与提供者进行远程调用的详细过程，涉及Dubbo框架的网络通信机制。

       网络通信主要在Dubbo的Remoting模块中实现，Dubbo支持多种协议，软件项目源码结构包括自定义的Dubbo协议、RMI、Hessian、HTTP、WebService、Thrift、REST、getScript源码gRPC、Memcached和Redis等，每种协议有其特点。例如，Dubbo协议利用NIO异步通信，适合处理大量并发小数据量的场景，而RMI采用阻塞式短连接，适合Java RMI应用。

       序列化在通信中起着至关重要的作用，Dubbo支持多种序列化方式，如Hessian2、Java、源码爸爸Fastjson等，其中Hessian2是默认选择。近年来，高效序列化技术如Kryo和FST不断涌现，它们的性能优于Hessian2，可通过配置引入以优化性能。

       数据在网络传输中需要解决粘包拆包问题，Dubbo通过定义私有RPC协议，消息头包含魔数、类型和长度等信息，以确保数据的正确接收。在消费者发送请求时，veno源码首先会生成一个封装了方法和参数的Request对象，经过编码后通过Netty发送。提供方则通过Netty接收请求，解码后执行服务逻辑并返回Response对象。

       双向通信中，服务提供方和消费方都通过心跳机制来检查连接状态，客户端和服务端都设有定时任务，确保数据的及时交互。在异步调用中，Dubbo通过CompletableFuture实现从异步到同步的转换，并处理并发调用时的数据一致性问题。

fastjson 1.2.源码分析以及漏洞复现

       反序列化，mediaextractor源码这个过程将字节序列恢复为Java对象。例如在使用Python做自动化测试时，通过字符串名字调用相同名字的方法。Fastjson的功能允许通过字符串引用如`@type":"com.sun.rowset.JdbcRowSetImpl`来执行内部方法。由此，我们能利用Fastjson提供的便利，通过调用对应的函数来验证漏洞。

       在渗透测试中，漏洞的验证通常需要满足几个条件：判断指纹和指纹回显，Fastjson的特性使得这一步变得简单。然而，在利用过程中，要考虑到Fastjson本身的限制、JDK的限制以及可能的安全配置限制。因此，POC验证方案需考虑这些限制的版本和配置。

       Fastjson通过JSON抽象类实现JSONAware接口，并提供两个常用方法：`toJSONString`用于对象转换为JsonString，`parseObject`用于将JSON字符串转换为对象。这次的漏洞主要与反序列化相关。

       反序列化的执行发生在`DefaultJSONParser.java`类中。关键代码中，固定键`@type`对应反序列化类的全路径，其中`typeName`为传入类的全路径。在Fastjson 1.2.版本中，`loadClass`方法未进行任何过滤，允许传入任何JVM加载的类，并执行`setKey`方法，其中Key为可变参数。

       要利用这个反序列化漏洞，需要满足以下条件：JVM加载的类、有非静态set方法和传入一个参数。使用RPC远程执行代码的思路实现POC，此处使用了`com.sun.rowset.JdbcRowSetImpl`实现。

       JNDI全称为Java Naming and Directory Interface，主要提供应用程序资源命名与目录服务。其底层实现之一是RMI（Remote Method Invocation），用于Java环境的远程方法调用。在`com.sun.rowset.JdbcRowSetImpl`类中，关注点在于`getDataSourceName()`和`setAutoCommit()`方法。`getDataSourceName()`用于传值，`setAutoCommit()`用于确认调用set方法。

       实现过程包括引用`com.sun.rowset.JdbcRowSetImpl`类、设置`dataSourceName`传值以及通过`autoCommit`属性触发执行方法。完成方法确认后，使用`marshalsec`项目启动RMI服务并加载远程类。

       POC的实现步骤如下：首先确认目标是否使用Fastjson且存在漏洞；利用Fastjson的反序列化功能传输引用类和执行方法；使用`com.sun.rowset.JdbcRowSetImpl`执行验证POC的脚本，并观察回显结果；最后，完成漏洞利用。

       具体操作包括搭建环境，如使用CentOS虚拟机作为RMI服务器和远程调用服务，KALI机器作为靶机和抓包测试。进行指纹确认、安装maven、构建RMI服务器和客户端、调用测试文件，并观察DNS日志以验证漏洞成功利用。通过DNS日志确认漏洞利用成功后，可以进一步尝试反弹shell，实现远程控制。

       综上所述，Fastjson的反序列化漏洞是一个可以被利用的安全问题，通过合理的利用，可以实现远程代码执行。了解和研究这类漏洞有助于增强对Fastjson以及类似技术的防御能力。