【Java代码审计】Fastjson代码审计实战

代码审计-漏洞复现

漏洞分析采用的是华夏ERP2.3，
查看pom.xml文件发现fastjson版本1.2.55，该版本存在漏洞，利用DNSlog进行验证。

fastjson涉及反序列化的方法有两种，JSON.parseObject()和JSON.parse()，在代码中直接搜索parseObject。

先选几个看起来顺眼的
可控参数为Long id，肯定不行，pass
传入参数为String search，有戏，跟进一下

那么多，慢慢看，可以先选择name，username这样的，前端传入 可控参数几率大一些
search由Map类型传入，跟进一下

继续跟进

search，由Map类型 parameterMap 传入，继续跟进

参数由/{apiName}/list路径下的Constants.SEARCH参数传入，跟进一下
还是参数search，就是路径下/{apiName}/list?search=存在Fastjson漏洞参数传入点

构造恶意请求

并进行URL编码

管他code返回几百，DNSlog收到请求，确认存在Fastjson漏洞