一款检测Fastjson反序列化的burp插件

最新推荐文章于 2024-06-25 08:33:31 发布
最新推荐文章于 2024-06-25 08:33:31 发布
阅读量6.7k 收藏 7
点赞数 4
分类专栏： Web安全 文章标签： burp插件 fastjson反序列化
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/he_and/article/details/108333604
版权

闲着无聊弄了一个简单的Fastjson反序列化检测burp插件

我在挖洞的时候看到一些json请求总是想要检测一下有没有Fastjson反序列化问题

本可以直接写一个脚本来跑或者搭配其他被动扫描器来验证，但是我太懒了

先不说burp搭配其他扫描器了，就连找到特定目录下的脚本我都觉得麻烦

所以，我决定一劳永逸地解决这个问题，于是去学习了一下burp插件的写法糊弄出了这个插件

插件是使用java编写的，但是我不会java，所以写的代码可能就不那么优雅了

安装方法

  • 下载项目中的FastjsonScan.jar文件
  • 在burp的Extender->Extensions栏，点击Add,选择下载好的jar文件就可以了（执行环境是Java)

如果成功安装，会输出如下信息，如果未能成功安装可以换下jdk版本？？我用的1.8

使用方法

使用方法也很简单，就像使用repeater一样，你可以在burp的任何地方选中一个请求右键选择【Send to FastjsonScan】将这个请求发送到Fastjson Scan，然后就只需要等待扫描结束🌶

右键菜单中：

FastjsonScan扫描结果界面：

如果扫描的目标存在漏洞，在窗口下面的Request窗口会展示使用的payload,如果没有漏洞，则会展示原始的请求与响应

ps: 由于反序列化检测利用了dnslog，所以检测会稍微慢一点，在等待结果期间你还可以继续看其他请求，真的是相当方便呢

核心代码

核心代码都在BurpExtender.java中了，检测逻辑很简单，注释也都写了，如果你有其他的需求，完全可以自己修改，直接在IDEA中打开FastjsonScan目录就可以自己魔改了

项目地址：https://github.com/Maskhe/FastjsonScan

tnt阿信
关注
  • 4
    点赞
  • 踩
  • 7
    收藏
    觉得还不错? 一键收藏
  • 3
    评论
专栏目录
Json --- Fastjson工具
__静禅__
01-08 1115
一、Fastjson简介 Fastjson是一个性能很好的Java语言实现的Json解析器和生成器，由来自阿里巴巴的工程师开发。具有极快的性能，超越任何其他的Java Json Parser。 特点： 快速(比其他任何基于Java的解析器和生成器更快，包括Jackson)强大(支持普通JDK类包括任意Java Bean Class、Collection、Map、Data或
fastjson反序列化利用
09-29
“本工具仅能在取得足够合法授权的企业安全建设中使用，在使用本工具过程中，您应确保自己所有行为符合当地的法律法规。 如您在使用本工具的过程中存在任何非法行为，您将自行承担所有后果，本工具所有开发者和所有...
BurpFastJsonScan:一款基于BurpSuite的被动式FastJson检测插件
03-19
BurpFastJsonScan 一款基于BurpSuite的被动式FastJson检测插件 自言自语 据听说它的诞生是因为作者在实际项目由于不够细 没有每个json都尝试进行一次fastjson的突破检测 导致差点错过了三个目标预算，好在同事够细!!! :) 作者事后后悔不已 于是乎〜 它就诞生了 简介 BurpFastJsonScan一个希望能节省一些渗透时间好进行划水的扫描插件 该插件插件BurpSuite传进来的每个不同的域名+端口的json流量进行一次fastjson dnsLog出网检测 目前的功能如下 dnsLog出网检测（由于使用的是恶意payload所以能出来基本上该站就死了） 编译方法 这是一个java maven项目 ：： /BurpFastJsonScan/pom.xml 安装完对应的包以后 编译文件地址：BurpFastJsonScan / out / artif
Fastjson-Scanner:burp扩展以查找在哪里使用fastjson
03-20
Fastjson-扫描仪 闲来无事，在家写了个fastjson初始组件检测，用于探测定位是否使用fastjson。 使用的poc如下： fastjson_poc = '{{"@type":"java.net.URL","val":"http://%s"}:"x"}' % val 优点 不仅能够探测POST中的json数据，还能够判断GET中的json数据，支持urlencode，urldecode等。 两种数据对应格式如下： 得到： GET /?json={"fastjson":"example"} 邮政： POST / ... {"fastjson":"example"} 使用方法 导入插件即可重新开始使用，对数据包进行被动扫描，由于使用的是burp自带的dnslog，所以稍微有些电脑延迟，代码里写了sleep 10来获取结果。 当导入数据包后，在burp内可以看到Fastjson
22款burpsuite常用插件（非常详细）零基础入门到精通，收藏这一篇就够了
最新发布
Javachichi的博客
06-25 2260
前言Burp Suite是一款强大的用于Web应用程序安全测试的工具。Burp Suite的一个关键特性是通过扩展功能的使用来扩展其功能。这些扩展允许用户自定义Burp Suite以满足他们特定需求，简化他们的工作流程。此外，扩展可用于将Burp Suite与其他工具和平台集成，扩大安全测试的范围和效率。使用Burp Suite扩展还可以帮助消除手动任务，节省安全专业人员的时间和资源。
FastjsonScan:一个简单的Fastjson反序列化检测burp插件
04-13
FastjsonScan 一个简单的Fastjson反序列化检测burp插件 我在挖洞的时候看到一些json请求总是想要检测一下有没有Fastjson反序列化问题，本可以直接写一个脚本来跑或者搭配其他被动扫描器来验证，但是我太懒了，先不说burp搭配其他扫描器了，就连找到特定目录下的脚本我都觉得麻烦，所以，我决定一劳永逸地解决这个问题，于是去学习了一下burp插件的写法糊弄出了这个插件 安装方法 下载项目中的FastjsonScan.jar文件 在burp的Extender->Extensions栏，点击Add,选择下载好的jar文件就可以了（执行环境是Java) 如果成功安装，会输出如下信息，如果未能成功安装可以换下jdk版本？？我用的1.8 使用方法 使用方法也很简单，就像使用repeater一样，你可以在burp的任何地方选中一个请求右键选择【Send to FastjsonScan
FastjsonScan.jar 用于burp插件，扫描Fastjson漏洞
07-05
burp插件
Fastjson扫描测试工具.rar
09-08
在渗透测试中遇到json数据一般都会测试下有没有反序列化，然而JSON库有Fastjson,JackJson,Gson等等，那么怎么判断后端不是Fastjson呢？可以构造特定的payload来进行探测分析
FastJson反序列化
06-17
[{"listA":[{"id":"fds","name":"张三"},{"id":"fds","name":"李四"}],"test":"432"}, {"listA":[{"id":"fds","name":"张三"},{"id":"fds","name":"李四"}],"test":"432"}] 数组里面封装数组的反序列化方法，通过两个bean，进行封装
springmvc fastjson 反序列化时间格式化方法(推荐)
10-20
在Spring MVC中，Fastjson是一个常用的JSON库，用于序列化和反序列化Java对象。当我们在处理日期时间字段时，可能会遇到反序列化时日期格式不一致的问题，导致默认显示为时间戳。本文将详细介绍两种解决Spring MVC中...
SpringBoot Redis配置Fastjson进行序列化和反序列化实现
10-16
Fastjson是阿里巴巴开发的一款高性能的JSON处理库，它提供了快速的序列化和反序列化能力，支持多种Java类型，包括JavaBean、集合、日期以及枚举等，并且无任何外部依赖，使得其在实际项目中得到广泛应用。...
fastjson漏洞批量检测工具
weixin_46211944的博客
09-07 549
将工具的流量代理到burpsuite中（此工具不能适应所有的情况，可通过该方式对payload进行适当调整）将请求中需要检测的位置替换为$payload$，其余位置不变，保存为req.txt（文件名任意）格式： {.........$type$://$ip$/路径....}#注释内容​​​​​​​。此时LDAP服务器可收到路径信息，可根据路径信息来定位触发漏洞的payload。若使用-req参数进行检测时，需要设置需要检测的变量值位置。格式：​​​​​​​。注意：​​​​​​​。注意：​​​​​​​。
BurpSuite插件 -- FastjsonScan（反序列化检测）
qq_50854662的博客
09-24 2838
你可以因为现任不好二分手，但千万不要认为别人更好，永远有人更好，眼下便是更好。。。 ----  网易云热评   一、插件介绍： 一个简单的Fastjson反序列化检测burp插件，我在挖洞的时候看到一些json请求总是想要检测一下有没有Fastjson反序列化问题，本可以直接写一个脚本来跑或者搭配其他被动扫描器来验证，但是我太懒了，先不说burp搭配其他扫描器了，就连找到特定目录下的脚本我都觉得麻烦，所以，我决定一劳永逸地解决这个问题，于......
Fastjson反序列化漏洞（自学）
m0_64481831的博客
03-04 1104
Fastjson是Java的一个库，可以将Java对象转化为JSON格式的字符串，也可以将JSON格式的字符串转化为Java对象。Fastjson调用toJSONString()方法即可将对象转换成JSON字符串，parseObject()方法将JSON字符串转换成对象。Fastjson是Java的一个库，调用toJSONString方法将对象转换成字符串，调用parseObject方法将字符串转换为对象。
一个简单的Fastjson反序列化检测burp插件-FastjsonScan
siu~
10-16 745
一个简单的Fastjson反序列化检测burp插件
探索快速且精准的Fastjson漏洞检测工具：FastjsonScan
gitblog_00045的博客
05-16 607
探索快速且精准的Fastjson漏洞检测工具：FastjsonScan 项目地址:https://gitcode.com/a1phaboy/FastjsonScan 在今天这个高度数字化的时代，数据的安全性至关重要。作为Java世界中广泛使用的JSON解析库，Fastjson因其高效性能深受开发者喜爱。然而，随之而来的是频繁出现的安全隐患。为此，我们向您推荐一款强大且持续更新的漏洞探测工具——Fa...
【BurpSuite】插件开发之fastjson4burp改造
HWHXY的博客
02-11 747
sqlmap4burp开发者把代码重构了，fastjson scan文件也比较清楚，所有的项目文件都放在BurpExtender.java里面，比较适合我们这种初学者。内容会持续更新，主要作用是备忘。
漏洞发现-BurpSuite插件-Fiora+Fastjson+Shiro
xiaoheizi的博客
07-29 1973
命令行下通过java启动程序的命令：java -jar Fiora-202100220-jar-with-dependencies.jar。安装：打开Burp——Extender——Extensions——Add——Select file——选择Fiora的jar包——打开。如果扫描的目标存在漏洞，在窗口下面的Request窗口会展示使用的payload,如果没有漏洞，则会展示原始的请求与响应。所以直接搜索关键字：【log4j】。配置插件Proxy，如果不配置，默认端口是为空的，运行就会报错。
写一个 fastjson反序列化的验证脚本
04-13
好的，以下是一个简单的 fastjson 反序列化验证脚本： ```java import com.alibaba.fastjson.JSON; import com.alibaba.fastjson.JSONException; public class FastJsonDeserializeValidator { public static boolean validate(String json) { try { JSON.parseObject(json); return true; } catch (JSONException e) { return false; } } } ``` 你可以将反序列化的 JSON 字符串传递给 `validate` 方法，它将返回 `true` 或 `false`，表示该字符串是否可以成功反序列化。 请注意，这只是一个简单的验证脚本，并不能保证 fastjson 的反序列化安全，因此在使用 fastjson 进行反序列化时，仍需谨慎处理。
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值