Fastjson反序列化漏洞原理与漏洞复现

最新推荐文章于 2024-07-30 17:09:59 发布
最新推荐文章于 2024-07-30 17:09:59 发布
阅读量198 收藏
点赞数 1
分类专栏： 面试 文章标签： web安全 javascript
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_52484587/article/details/140273805
版权
oliveira-time
关注
  • 1
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Fastjson反序列化漏洞史1
08-03
然而，Fastjson在过去的几年里曾曝出一系列的反序列化漏洞，这些漏洞可能被攻击者利用，执行任意代码，从而对系统安全构成威胁。 在2020年5月8日的分析中，文章提到了Fastjson反序列化漏洞的历史，并对一些关键的...
Java反序列化漏洞自动挖掘方法.pdf
08-21
Java反序列化漏洞是软件安全领域中的一个重要话题，尤其在AI信息安全研究和可信编译安全架构中，它关乎系统的安全性和稳定性。反序列化是将从磁盘或网络中读取的序列化数据转换回内存中的对象的过程。在Java中，这一...
Fastjson各版本反序列化EXP 1.2.24 1.2.41 1.2.42 1.2.43 1.2.45 48 62 66
03-29
# Fastjson反序列化漏洞为例 1、此时/tmp目录 ![img]...
springmvc fastjson 反序列化时间格式化方法(推荐)
10-20
在Spring MVC中，Fastjson是一个常用的JSON库，用于序列化和反序列化Java对象。当我们在处理日期时间字段时，可能会遇到反序列化时日期格式不一致的问题，导致默认显示为时间戳。本文将详细介绍两种解决Spring MVC中...
网络安全自学从入门到精通的制胜攻略！！！
2301_77160226的博客
07-27 232
在信息时代，网络安全已成为至关重要的领域。越来越多的人希望通过自学掌握这门技术，开启充满挑战与机遇的职业道路。
OWASP ZAP：一款功能强大的开源Web安全扫描工具
Coder加油站的专栏
07-27 824
OWASP ZAP是一个功能强大的Web应用程序安全扫描工具，适用于各种开发、测试和生产环境。通过自动扫描、手动测试、被动扫描和主动扫描等多种功能，ZAP能够帮助用户全面评估Web应用程序的安全性。此外，ZAP还提供了强大的API、插件和扩展功能，可以与CI/CD流水线集成，自动化地进行安全测试
网络安全相关竞赛比赛
黑战士的博客
07-18 1279
湖南省委网信办联合省教育厅、省广播电视局、省政务管理服务局、省通信管理局、长沙市人民政府等6家单位共同主办。教育部认可的大学生学科竞赛网站链接（2023版）关键字：比赛、CTF、赛事、技能挑战。浙江省大学生网络与信息安全竞赛。全国网络安全行业职业技能大赛。湖南省“网安湘军杯”
JavaScript青少年简明教程：函数及其相关知识（下）
cnds123的专栏
07-26 648
JavaScript青少年简明教程：函数及其相关知识（下）
VUE3自定义指令防止重复点击多次提交
MadSnail00的博客
07-30 70
vue3连续点击按钮重复提交，vue3自定义指令防止重复提交
【分享】前端程序员-技术网站推荐
一位前行者的博客
07-30 406
对于前端开发人员来说，以下是一些推荐的技术网站，这些网站提供了丰富的资源和知识，可以帮助你提升前端开发技能：收集一些 、、 的网站 vite 官方中文文档 element-plus 官方中文文档 pinia 官方中文文档 vue-router 官方中文文档 Tailwind CSS 官方文档 vitest 官方中文文档 es6 中文文档 axios 官方中文文档 vxetable 官方中文文档 lodash 中文文档 echarts 官方中文文档 animat
我们的前端开发逆天了！1 小时搞定了新网站，还跟我说 “不要钱”
努力做最接地气的编程干货分享，感谢关注
07-29 1276
本文将带你了解一个新的 Web 框架 **Astro**，并手把手带你使用 Astro 搭建一个属于自己的站点，用过的都说真香！
已解决：vue-office/excel 多个sheet点击切换，滚动条高度不重置，表格视图位置不正确
weixin_42289080的博客
07-26 263
解决 @vue-office/excel 多个sheet切换，内容以及滚动条展示不正确的问题
互联网医院系统源码与医保购药APP开发的完整技术指南
最新发布
meihusdk的博客
07-30 150
开发过程中需注重数据安全、系统性能、用户体验等多个方面，确保系统的高效稳定运行和良好用户体验。希望这篇技术指南能为开发者提供有益的参考，助力互联网医疗健康行业的发展。
vue el-select的下拉树形结构 带检索功能
Jokerxiuka的博客
07-26 212
【代码】vue el-select的下拉树形结构。
新手vue学习问题汇总（自用）（长期更新）
lapiii的博客
07-28 356
是 ES6 模块语法，用于导出模块的默认成员。在 Vue.js 中，通常用来导出一个组件对象，使其可以在其他文件中被导入并使用。
angular入门基础教程(四）动态属性与事件
峰会路转的博客
07-29 108
状态的变化导致属性值的变化，这个时候我们就需要用到动态属性，ng中的动态属性用[]包裹即可。
easyui 点击单元格的时候，获取该行另外一个字段的值
极客栈
07-29 319
通过绑定 DataGrid 的 ​​ 事件，可以轻松地在单击单元格时获取该行的其他字段值。这个方法适用于各种场景，比如在用户点击某个单元格时显示额外的信息、执行特定的操作等。希望这个示例能帮助你更好地理解和应用 EasyUI DataGrid 的事件处理。
Vue3可媲美Element Plus Tree组件实战之移除节点
felix_alone2012的博客
07-25 652
《Element Plus Tree - 自定义节点内容》示例中介绍了移除节点的用法，个人觉得作为提供给用户API，应该遵循迪米特法则，把功能实现的细节封装在组件内部，而提供给用户最简单的操作方式，同时在此基础上支持用户的扩展。因此，在API使用的人性化方便，个人觉得element plus做的并不优秀。为此，我们自定义tree组件时对用户API可以设计的更人性化些。
weblogic和fastjson反序列化漏洞原理分析及复现
09-07
WebLogic和Fastjson反序列化漏洞是两个独立的漏洞，但它们都涉及到Java反序列化的安全问题。我会分别给你介绍这两个漏洞的原理和复现方法。 1. WebLogic反序列化漏洞原理分析及复现： WebLogic反序列化漏洞是指通过利用WebLogic Server中T3协议的漏洞，攻击者可以在目标服务器上执行任意代码。这个漏洞的根本原因是WebLogic Server在处理T3协议时未正确过滤用户提供的数据，导致攻击者可以构造恶意的序列化数据，在服务器端触发反序列化漏洞。 复现该漏洞的步骤如下： 1) 下载并配置WebLogic Server环境。 2) 使用ysoserial工具生成payload，例如利用CommonsCollections的payload。 3) 构造T3协议请求，将生成的payload嵌入到请求中。 4) 启动WebLogic Server，并发送恶意请求。 5) 成功触发反序列化漏洞后，攻击者可以执行任意代码。 2. Fastjson反序列化漏洞原理分析及复现： Fastjson是一个常用的Java JSON库，该漏洞存在于Fastjson的版本1.2.24及之前的版本中。攻击者可以通过构造恶意的JSON数据，触发Fastjson的反序列化漏洞，从而执行任意代码。 漏洞的原因是Fastjson在反序列化JSON数据时，对默认类型进行了自动化检测和加载，并且允许调用类的默认构造函数，从而导致了代码执行漏洞。攻击者可以通过构造恶意的JSON数据，在目标服务器上执行任意代码。 复现该漏洞的步骤如下： 1) 下载并配置Fastjson版本1.2.24或之前的环境。 2) 使用ysoserial工具生成payload，例如利用CommonsCollections的payload。 3) 构造恶意的JSON数据，将生成的payload嵌入到JSON中。 4) 编写测试代码，使用Fastjson进行反序列化操作。 5) 执行测试代码，成功触发反序列化漏洞后，攻击者可以执行任意代码。 请注意，漏洞利用是非法行为，仅在授权范围内进行安全测试和研究。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值