fastjson漏洞——举例说明漏洞以及原理分析——一看就会

最新推荐文章于 2024-09-20 17:27:13 发布

可乐多点冰

最新推荐文章于 2024-09-20 17:27:13 发布

阅读量5k

点赞数 5

分类专栏：小小小知识点文章标签：安全 json java

本文链接：https://blog.csdn.net/u013541707/article/details/108351310

版权

本文介绍了fastjson的autoType漏洞，分析了autoType的工作原理，通过代码示例展示了如何利用该特性进行反序列化攻击。内容包括漏洞的利用方式，如构造特定json字符串以执行恶意代码，以及fastjson后续修复措施，如关闭autotype默认支持并引入黑白名单防御机制。文章旨在帮助读者理解fastjson的安全隐患及其防范策略。

摘要由CSDN通过智能技术生成

最近公司一直说fastjson有漏洞，比较很严重，要换成其他的json工具。怀着好奇的心情去看了一些文章，现在简单的记录一下。

1、漏洞分析

总体而言是一个叫做autoType的在搞事情。那么autoType是什么呢?
我们写一段简单代码演示一下：

public class JSONController {
   

    public static void main(String[] args) throws ParseException {
   

        Province province = new Province();
        province.setProvincialCapital("wuhan");
        province.setCityNum(12);

        Nation nation = new Nation();
        nation.setName("傣族");
        nation.setProvince(<