fastjson反序列化分析

红队蓝军

已于 2022-03-18 22:14:03 修改

阅读量2.5k

点赞数

文章标签： java 安全哈希算法

于 2022-03-16 19:48:27 首次发布

本文链接：https://blog.csdn.net/hongduilanjun/article/details/123534280

版权

本文深入探讨了fastjson的简单使用、反序列化漏洞分析及其字节码加载过程。重点在于反序列化漏洞，当遇到@type时，fastjson会加载指定类并尝试通过无参构造创建对象。攻击者常利用TemplatesImpl链加载字节码实现远程代码执行（RCE）。通过在setter方法中插入命令执行代码，结合字节码加载机制，证明了这一攻击路径的可行性。

摘要由CSDN通过智能技术生成

1.fastjson简单使用

User:

package com.naihe;

public class User {
   
    private String name;
    private int age;

    public User() {
   }
    
    public User(String name, int age) {
   
        this.name = name;
        this.age = age;
    }

    public String getName() {
   
        return name;
    }

    public void setName(String name) {
   
        this.name = name;
    }

    public int getAge() {
   
        return age;
    }

    public void setAge(int age) {
   
        this.age = age;
    }
}

Demo:

package com.naihe;

import com.alibaba.fastjson.JSONObject;
import com.alibaba.fastjson.serializer.SerializerFeature;

public class FS {
   
    public static void main(String[] args) {
   
        User user1 = new User("小李",10);
        String JsStr1= JSONObject.toJSONString(user1);
        System.out.println(JsStr1);

        User user2 = new User("大李",100);
        String JsStr2= JSONObject.toJSONString(user2, SerializerFeature.WriteClassName);
        System.out.println(JsStr2);

        String str = "{\"@type\":\"com.naihe.User\",\"age\":1000,\"name\":\"老李\"}";
        Object obj1 = JSONObject.parse(str);
        System.out.println(obj1);

        Object obj2 = JSONObject.parseObject(str);
        System.out.println(obj2);

    }
}