Canal 解决fastjson ＜= 1.2.68 反序列化远程代码执行漏洞

最新推荐文章于 2023-12-14 18:46:41 发布
最新推荐文章于 2023-12-14 18:46:41 发布
阅读量1.3k 收藏
点赞数
分类专栏： 中间件 文章标签： 中间件
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42763067/article/details/119830013
版权

1.下载源码 https://github.com/alibaba/canal

2.修改fastjson 的安全版本(我升级了1.2.7版本)

3.编译构建(mvn clean install -Denv=release -Dmaven.test.skip=true -Dautoconfig.skip)

4.当前目录下生成target目录，上传

5.启动服务，收工！

踩坑记录：

服务启动报错，数据无法同步
java.io.IOException: Received error packet: errno = 1236, sqlstate = HY000 errmsg = Could not find first log file name in binary log index file

解决方案：

先把服务停止，然后删除canal/conf/下对应实例的meta.dat文件即可
zk集群模式下，进入canal对应的zookeeper集群下，删除节点/otter/canal/destinations/xxxxx/1001/cursor ；重启canal即可恢复

想见感
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 2
    评论
专栏目录
解决fastjson从1.1.41升级到1.2.28后报错问题详解
10-15
主要介绍了解决fastjson从1.1.41升级到1.2.28后报错问题详解,需要的朋友可以参考下
fastjson1.2.83反序列化漏洞
Coder的博客
07-13 7155
【代码】fastjson1.2.83反序列化漏洞。
Fastjson反序列化远程代码执行漏洞
m0_56033865的博客
06-15 4811
据国家网络与信息安全信息通报中心监测发现，开源Java开发组件Fastjson存在反序列化远程代码执行漏洞。攻击者可利用上述漏洞实施任意文件写入、服务端请求伪造等攻击行为，造成服务器权限被窃取、敏感信息泄漏等严重影响。先贴一个解决漏洞的方案： 不过任何升级一定会伴随或大或小的bug,一定要对业务的影响做评估。下面对漏洞原理进行介绍： fastjson 是阿里巴巴开发的 java语言编写的高性能 JSON 库，用于将数据在 Json 和 Java Object之间相互转换。它没有用java的序列化机制，而是自
FastJson中AutoType反序列化漏洞
isxiaole的博客
05-06 8105
FastJson中AutoType反序列漏洞梳理。
Fastjson ＜ 1.2.83 任意代码执行漏洞(CVE-2022-25845)
北方的孤夜
12-14 3123
如何开启 fastjson safemode
Canal的坑你遇到了多少，全在这儿呢
尹忠政的博客
03-08 1万+
Canal的坑你遇到了多少，全在这里呢 修改mysql字符集 #在[client]段增加下面代码  default-character-set=utf8 #在[mysql]段增加下面的代码  character-set-server=utf8  #在[mysqld]段增加下面的代码 character-set-server=utf8 init_connect='S...
canal.deployer-1.1.6.tar.gz
03-23
配置文件通常包括 canal.properties（全局配置）、instance.properties（实例配置）以及 canal.conf（集群配置）。配置内容包括 MySQL 数据库连接信息、 Canal 实例设置、目标数据源配置等。 四、使用与监控 启动 ...
canal.adapter-1.1.4.tar.gz
02-01
在这个场景下，`canal.deployer-1.1.4.tar.gz` 文件扮演了关键角色，它是一个压缩包，包含了运行Canal Deployer所需的所有必要组件。本文将详细阐述Canal Deployer的核心功能、工作原理以及如何使用。 一、Canal ...
canal-canal-1.1.7.tar.gz
最新发布
04-25
- **数据同步**：在多数据中心部署、数据迁移、数据分片等场景下，Canal能有效地解决数据同步问题。 - **数据分析**：将MySQL的变更数据实时推送到大数据平台，支持实时分析。 6. **开发与扩展**： Canal提供了...
阿里canal组件:canal.deployer-1.1.7-SNAPSHOT.tar.gz
01-06
这些库涵盖了Canal本身的核心组件，以及与MySQL通信、解析binlog、序列化和反序列化数据等所需的各种工具。 2. **bin**：这是Canal的启动和管理脚本所在的目录。在这里，你可以找到启动、停止、重启Canal服务的...
fastjson ＜=1.2.68 远程代码执行漏洞 学习
西米安全
06-08 737
fastjson ＜=1.2.68 远程代码执行漏洞 学习1、 MAC 2、Java版本为 1.8.0_261 。 3、Mysql版本为 5.7 。我用的是PHPstudy集成的。 4、IDEA版本随意。创建一个spring 项目mavc pom.xml引用fastjson 创建demo_fastjson.java 输出 通过 前面已经说到如何去利用，所以这里需要寻找一个子类或实现非常多的类或接口都行，在实际中还是主要看checkAutoType方法中，有哪些对象或接口可以通过校验，实际测试中存在如下几种：
canal无法同步数据到es的坑
无名小仙男的博客
03-05 1000
canal
Fastjson反序列化漏洞
热门推荐
LJH1999ZN的博客
03-31 3万+
一、fastjson简介 fastjson是java的一个库，可以将java对象转化为json格式的字符串，也可以将json格式的字符串转化为java对象 提供了 toJSONString() 和 parseObject() 方法来将 Java 对象与 JSON 相互转换。调用toJSONString方 法即可将对象转换成 JSON 字符串，parseObject 方法则反过来将 JSON 字符串转换成对象。 二、fastjson反序列化漏洞原理 在反序列化的时候，会进入parseField方法，进
麻了！Fastjson 再曝反序列化漏洞。。
Java技术栈，分享最主流的Java技术
05-28 338
点击关注公众号，Java干货及时送达来源：© Alibaba Fastjson Develop Teamgithub.com/alibaba/fastjson/wiki/security_update_20220523近日 Fastjson Develop Team 发现 fastjson 1.2.80及以下存在新的风险，请关注。1. 风险描述 fastjson已使用黑白...
Fastjson历史反序列漏洞分析(1.2.24-1.2.80)
dreamthe的博客
08-10 5824
本文章总结fastjson1.2.24到1.2.80所产生的反序列化漏洞，将其进行分析。希望多大家有帮助。
复现fastjson反序化漏洞(fastjson≤1.2.80)
TVT111的博客
07-21 2769
文章利用JNDI-Injection-Exploit工具，主要讲解如何利用JNDI注入复现fastjson反序化漏洞
fastjson的漏洞解决—2020年5月28日
06-08 1万+
一、前言 fastjson真是不让人省心，2020年5月28日又报了漏洞。 fastjson的作用： 将javabean序列化为json格式的字符串。 将json格式的字符串，反序列化为javabean。 二、fastjson使用过程 添加maven依赖： <dependency> <groupId>com.alibaba</groupId> <artifactId>fastjson</artifactId> <v
【网络安全】Fastjson的反序列化漏洞复现
kali_Ma的博客
12-26 2679
Fastjson提供了autotype功能，允许用户在反序列化数据中通过“@type”指定反序列化的类型，Fastjson自定义的反序列化机制时会调用指定类中的setter方法及部分getter方法，那么当组件开启了autotype功能并且反序列化不可信数据时，攻击者可以构造数据，使目标应用的代码执行流程进入特定类的特定setter或者getter方法中，若指定类的指定方法中有可被恶意利用的逻辑（也就是通常所指的“Gadget”），则会造成一些严重的安全问题。
使用kotlin解决这个题目：125. 验证回文串 如果在将所有大写字符转换为小写字符、并移除所有非字母数字字符之后，短语正着读和反着读都一样。则可以认为该短语是一个 回文串 。 字母和数字都属于字母数字字符。 给你一个字符串 s，如果它是 回文串 ，返回 true ；否则，返回 false 。 示例 1： 输入: s = "A man, a plan, a canal: Panama" 输出：true 解释："amanaplanacanalpanama" 是回文串。 示例 2： 输入：s = "race a car" 输出：false 解释："raceacar" 不是回文串。 示例 3： 输入：s = " " 输出：true 解释：在移除非字母数字字符之后，s 是一个空字符串 "" 。 由于空字符串正着反着读都一样，所以是回文串。 提示： 1 <= s.length <= 2 * 105 s 仅由可打印的 ASCII 字符组成
05-28
可以双指针的方法，分别从字符串的头和尾开始遍历，跳过非字母数字字符，将所有大写字符转换为小写字符，然后比较两个字符是否相等，直到两个指针相遇或者跨过了中点。如果在遍历过程中发现不相等的字符，则该字符串不是回文串，返回 false；如果遍历完成后两个指针仍然没有相遇，则该字符串是回文串，返回 true。 下面是使用 Kotlin 实现的代码： ```kotlin fun isPalindrome(s: String): Boolean { var left = 0 var right = s.length - 1 while (left < right) { while (left < right && !s[left].isLetterOrDigit()) { left++ } while (left < right && !s[right].isLetterOrDigit()) { right-- } if (s[left].toLowerCase() != s[right].toLowerCase()) { return false } left++ right-- } return true } ``` 可以通过以下代码进行测试： ```kotlin fun main() { val s1 = "A man, a plan, a canal: Panama" val s2 = "race a car" val s3 = " " println(isPalindrome(s1)) // true println(isPalindrome(s2)) // false println(isPalindrome(s3)) // true } ```
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

想见感

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值