fastjson反序列化漏洞测试方法

最新推荐文章于 2024-08-08 17:20:38 发布
最新推荐文章于 2024-08-08 17:20:38 发布
阅读量768 收藏 2
点赞数
分类专栏： 安全学习 文章标签： 网络安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43143133/article/details/131833864
版权
这篇博客介绍了如何鉴定一个系统是否使用了Fastjson，包括通过错误回显判断、对比jackson特性和利用低版本Fastjson的DoS漏洞进行检测。文章提供了详细的操作步骤，如添加额外键值对来区分jackson和fastjson，以及通过速度变化检测低版本Fastjson。
摘要由CSDN通过智能技术生成

fastjson使用量还是很广泛的，但如何鉴定是fastjson确实是个有趣的问题，跟其他师傅的学习我总结到了一些有趣的方法记录一下

判断是否存在fastjson
如果有原始报错回显，尝试发送一个单独的 { 来触发报错，如果报错中明确包含fastjson则代表存在fastjson

判断是jackson还是fastjson

java系处理json一般采用fastjson或jackson，jackson要求json与javabeacon严格对齐，假定需求的json如下

{
   "name":"json", "age":21}

增加一个键值对

{
   "name&#
最低0.47元/天 解锁文章
谢列平
关注
专栏目录
亲手带你 Debug Fastjson 的安全漏洞
代码界的扛把子
04-28 2261
简介 Java处理JSON数据有三个比较流行的类库，gson(google维护)、jackson、以及今天的主角fastjson，fastjson是阿里巴巴一个开源的json相关的java library，地址在这里， https://github.com/alibaba/fastjson， Fastjson可以将java的对象转换成json的形式，也可以用来将json转换成java对象，效率较高，被广泛的用在web服务以及android上，它的JSONString（）方法可以将java的对象转换成j
探索快速且精准的Fastjson漏洞检测工具：FastjsonScan
gitblog_00045的博客
05-16 827
探索快速且精准的Fastjson漏洞检测工具：FastjsonScan FastjsonScanFastjson扫描器，可识别版本、依赖库、autoType状态等。A tool to distinguish fastjson ,version and dependency项目地址:https://gitcode.com/gh_mirrors/fa/FastjsonScan 在今天这个高度数字化的...
Java代码审计-fastjson反序列化漏洞分析
最新发布
qq_44780157的博客
08-08 1967
Fastjson反序列化漏洞各个版本的原理浅析。
fastjson反序列化漏洞
cc777777777的博客
06-12 501
fastjson反序列化漏洞
Fastjson反序列化漏洞分析
黑白的博客
06-29 4057
fastjson在解析json过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性，反序列化就是面向属性编程，不谋而合了，直接通过set注入就好了，这个autoType在对JSON字符串进行反序列化时，会读取@type的内容，把JSON内容反序列化成对象，并且调用set方法。
Fastjson反序列化漏洞史1
08-03
在2020年5月8日的分析中，文章提到了Fastjson反序列化漏洞的历史，并对一些关键的更新和漏洞时间线进行了梳理。由于Fastjson并未在CVE(Candidate Vulnerabilities Enumeration)数据库中注册，因此查找历史漏洞事件...
FastJson反序列化漏洞复现附带多个版本的payload
qq_41187177的博客
09-03 4303
FastJson<=1.2.68版本反序列化漏洞复现1.漏洞环境搭建2.攻击环境搭建3.攻击步骤4.各个Fastjson版本的payload3.漏洞解析 1.漏洞环境搭建 打开IDEA，新建一个java web的项目 修改HelloServlet.java文件输入一下代码import java.io.*; import javax.servlet.http.*; import javax.servlet.annotation.*; import com.alibaba.fastjson.*; @W
fastjson 1.2.24反序列化漏洞
weixin_68547367的博客
01-04 1260
fastjson是一个Java语言编写的高性能且功能完善的JSON库，它采用一种“假定有序快速匹配”的算法，把JSON Parse的性能提升到了极致，它的接口简单易用，已经被广泛使用在缓存序列化，协议交互，Web输出等各种应用场景中。在网络传输的过程中，RMI中的对象是通过序列化方式进行编码传输的，这意味着，RMI在接收到经过序列化编码的对象后进行反序列化。java.io.Serializable：表示序列化，是一个空接口，也就是说这个接口没有声明任何的方法，所以实现这个接口的类也就不需要实现任何的方法。
Fastjson反序列化漏洞复现(实战案例)
热门推荐
1
04-19 1万+
漏洞介绍 FastJson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。 通俗理解就是：漏洞利用fastjson autotype在处理json对象的时候，未对@type字段进行完全的安全性验证，攻击者可以传入危险类，并调用危险类连接远程rmi主机，通过其中的恶意类执行代码。攻击者通过这种方式可以实现远程代码执行漏洞的利用，获取服务器的敏感信息泄露，甚至可以利用此漏洞进一步对服务器数据
FastJson反序列化系列漏洞分析
守拙的博客
08-29 3151
fastsjon 1.2.24-1.2.68 多个版本反序列化漏洞的分析复现
Java安全篇-Fastjson漏洞
m0_63138919的博客
03-28 3277
本文章参考网上师傅们的解题和代码审计思路，记录自己的学习过程，还希望各位博主 师傅 大佬 勿喷，还希望大家指出错误
2023最新最全 fastjson 漏洞批量检测工具使用教程。
logic1001的博客
11-29 2674
内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
fastjson（反序列化）漏洞复现
weixin_58954236的博客
09-11 1343
​ FastJson是Alibaba的一款开源Json解析库，可用于将Java对象转换为其Json表示形式，也可以用于将Json字符串转换为等效的Java对象。近几年来FastJson漏洞层出不穷。RCE漏洞的源头：17年FastJson爆出的1.2.24反序列化漏洞。​ 关于FastJson1.2.24反序列化漏洞，简单来说，就是FastJson通过parseObject/parse将传入的字符串反序列化为Java对象时由于没有进行合理检查而导致的。
FastJSON 案例测试
gao_chun
09-16 1813
FastJSON是一个很好的java开源json工具类库，相比其他同类的json类库，它的速度的确是fast，最快！但是文档做得不好，在应用前不得不亲测一些功能。   实际上其他的json处理工具都和它差不多，api也有几分相似。   一、JSON规范 JSON是一个标准规范，用于数据交互，规范的中文文档如下： http://www.json.org/json-
Fastjson反序列化漏洞
yyj1781572的博客
04-13 2035
Fastjson是阿里巴巴公司开源的一款json解析器，其性能优越，被广泛应用于各大厂商的Java项目中。fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成功执行任意命令。
Fastjson 反序列化漏洞
m0_65150886的博客
10-10 702
Fastjson在1.2.24以及之前版本存在远程代码执行高危安全漏洞Fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链Fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成功执行任意命令。
如何检测fastjson反序列化漏洞
03-30
3. 使用Fastjson反序列化漏洞测试工具对应用程序进行测试。例如，可以使用ysoserial等工具构造恶意JSON数据，然后观察应用程序的行为。 4. 检查应用程序的日志，查看是否有异常信息或者报告Fastjson反序列化漏洞的...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值