java 漏洞复现_CVE-2019-12384漏洞分析及复现

原标题：CVE-2019-12384漏洞分析及复现

*本文中涉及到的相关漏洞已报送厂商并得到修复，本文仅限技术研究与讨论，严禁用于非法用途，否则产生的一切后果自行承担。

引言

近期关于Jackson的RCE漏洞CVE-2019-12384爆出，关于漏洞的复现以及依赖，这里已经给出，笔者这边使用java的环境重新复现了一下，权当给各位看官当个翻译，也让在java上进行漏洞复现的兄弟们少走点弯路。

环境准备

本次漏洞有比较鸡肋的地方，就是依赖的第三方jar包有点多，除去jackson自身的jar包以外还需要logback-core和h2，具体的pom配置如下：

com.fasterxml.jackson.core

jackson-databind

2.9.8

ch.qos.logback

logback-core

1.3.0-alpha4

com.h2database

h2

1.4.199

test

com.h2database

h2

1.4.199

compile

漏洞复现

国外的大佬们用的是ruby实现的漏洞利用环境，我这边为了方便idea的debug，索性使用java来做复现，具体的注意细节我也在代码里面注释了，大家看注释就好，

JackonSerial.java

import com.fasterxml.jackson.databind.ObjectMapper;

import com.fasterxml.jackson.