fastjson-BCEL不出网打法原理分析

FastJson反序列化漏洞

与原生的 Java 反序列化的区别在于，FastJson 反序列化并未使用 readObject 方法，而是由 FastJson 自定一套反序列化的过程。通过在反序列化的过程中自动调用类属性的 setter 方法和 getter 方法，将JSON 字符串还原成对象，当这些自动调用的方法中存在可利用的潜在危险代码时，漏洞便产生了。

fastjson用法：

1.将字符串转换为json格式，通过key获取value：

class jsonUser{
public static void main(String[] args) {
//正常使用将字符串转换成json格式，提取相关数据
String s = "{\"name\":\"小红\",\"age\":\"18\"}";
JSONObject jsonobject = (JSONObject) JSON.parse(s);
System.out.println(jsonobject.get("name"));
}}
小红

这么简单好用的一个功能为什么会出现漏洞？

2.将JSON还原成对象：

class jsonUser{
public static void main(String[] args) {
//正常使用将字符串转换成json格式，提取相关数据
String s = "{\"name\":\"小红\",\"age\":\"18\"}";
JSONObject jsonobject = (JSONObject) JSON.parse(s);
System.out.println(jsonobject.get("name"));
}}
小红
class User {
private String id;
User() {
System.out.println("User go");
}
public void setId(String ids) {
System.out.println("setId go");
this.id = ids;
}
public String getId() {
System.out.println("GetId go");
return this.id;
}
}
public class Fastjson {
public static void main(String[] args) {
User a = new User();
String json = JSON.toJSONString(a); //序列化 转为json
// System.out.println(json);
System.out.println(JSON.parseObject(json,User.class)); //反序列化 转为
原始数据
}
}

result：会自动调用 Get方法和构造方法。

fastjson漏洞产生原因：

public class Fastjson {
public static void main(String[] args) {
JSONObject jsonObject =
JSON.parseObject({\"@type\":\"Java_deserialization.User\",\"id\":\"123\"}");
System.out.println(jsonObject);
}
}

result：会自动调用Get，Set，构造方法。

这里fastjson提供了AutoType这种方式来指定需要还原的对象以及值 {"&