Fastjson 对象序列化漏洞的分析和解决方案

已于 2023-05-20 13:17:42 修改
阅读量759 收藏
点赞数
分类专栏： 网络安全 文章标签： json
于 2023-02-12 13:59:30 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43263566/article/details/128990179
版权

数据来源

01 Fastjson相关介绍

》Fastjson概述

》Fastjson历史漏洞 

02 Fastson的识别与漏洞发现

》Fastjson寻找

》Fastjson漏洞发现（利用 dnslog）

03 修复建议

建议1：使用fastjson1.2.83版本；

Github地址：https://github.com/alibaba/fastjson/releases/tag/1.2.83 

建议2：升级到fastjson v2 

Github地址:https://github.com/alibaba/fastjson2

      Fastjson v2是FASTJSON项目的重要升级，目标是为下一个十年提供一个高性能的JSON库，同一套API支持JSON/JSONB两种协议，JSONPath是一等公民，支持全量解析和部分解析，支持Java服务端、客户端Android、大数据场景

狗蛋的博客之旅
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
用友NC Cloud blobRefClassSearch FastJson反序列化RCE漏洞复现
0xSec
07-13 889
用友 NC Cloud blobRefClassSearch 接口处存在FastJson反序列化漏洞，未经身份验证的远程攻击者可通过该漏洞在服务器端任意执行代码，写入后门，获取服务器权限，进而控制整个web服务器。
Fastjson 反序列化任意代码执行漏洞修复
bigwood99的博客
07-11 1244
腾讯云主机安全扫描报告，有几台主机存在“Fastjson 反序列化任意代码执行漏洞”。 安全报告漏洞信息如下： CVE编号 pcmgr-345005 披露时间 2022-05-23 漏洞描述：
fastJson≤1.2.80漏洞修复
Champion-Dai
06-15 3786
在 Fastjson 1.2.80 及以下版本中存在反序列化漏洞，攻击者可以在特定依赖下利用此漏洞绕过默认autoType关闭限制，从而反序列化有安全风险的类，在特定条件下这可能导致远程代码执行。高危、任意命令执行。Fastjson ≤1.2.80以下三种修复方案根据业务选择任一合适方案即可:方案一、建议升级到最新版本1.2.83。参考链接：https://github.com/alibaba/fastjson/releases/tag/1.2.83方案二、safeMode加固：Fastjson在1.2.6
安全 fastjson_这些FastJson漏洞已经人尽皆知的事情（安全角度）
weixin_42393650的博客
01-14 948
一个阳光灿烂的冬日清晨，我一如既往地躲在被窝里刷着手机。突然，有一篇公众号头条的一篇文章吸引了我：那些FastJson漏洞不为人知的事情(开发角度)哇塞，这标题，一看就是大佬的力作！但是看着看着，这文章感觉不对啊，当中的许多观点都是“颠覆性的创新”，完全改变了我对fastjson漏洞的认知！难道我之前学的都是错的？所以抱着大胆假设，小心求证的科(杠)学(精)精神，对该文中的一些观点进行...
04-Fastjson反序列化漏洞
最新发布
qq_57410330的博客
08-02 1021
该文章详细讲述了Fastjson漏洞
Fastjson又又又曝反序列化漏洞（附修复建议）
Java笔记虾
05-29 793
点击关注公众号，利用碎片时间学习近日，Fastjson Develop Team 发布修复了 Fastjson 1.2.80 及之前版本存在的安全风险，该安全风险可能导致反序列化漏洞。漏洞描述Fastjson 是阿里巴巴开源的 Java 对象和 JSON 格式字符串的快速转换的工具库。Fastjson 1.2.80 及之前版本使用黑白名单用于防御反序列化漏洞，经研究该防御...
fastjson的漏洞分析和解决方案
热爱编程，拥抱开源
05-12 552
fastjson的漏洞分析和解决方案
它又又又来了，Fastjson 最新高危漏洞来袭！
欢迎关注公众号：【码农突围】，回复9999，可以获取一份LeetCode刷题笔记
06-01 815
点击上方“码农突围”，马上关注这里是码农充电第一站，回复“666”，获取一份专属大礼包真爱，请设置“星标”或点个“在看”来源 |https://www.anquanke.com/pos...
Fastjson反序列化漏洞原理与漏洞复现（基于vulhub，保姆级的详细教程）
热门推荐
Bossfrank的博客
04-12 3万+
本文是Fastjson1.2.24漏洞复现，包括漏洞原理、漏洞利用（远程创建文件）、漏洞利用（反弹shell）。使用vulhub靶场进行搭建，保姆级教程，还望大家多多支持。
fastjson1.2.47远程代码漏洞解决方案.rar
07-12
这个漏洞主要源自Fastjson的`parseObject`和`parseArray`等方法，当解析包含特殊JSON格式的对象或数组时，Fastjson未能进行有效的安全校验，导致了反序列化过程中的代码执行。攻击者可以通过构造恶意的JSON字符串，...
漏洞复现 - - - Fastjson反序列化漏洞
weixin_67503304的博客
08-25 6364
简单讲解Fastjson反序列化漏洞，简单讲述漏洞利用shell
fastjson反序列化0day漏洞分析
bluemoon_0的博客
01-10 438
fastjson反序列化0day漏洞分析
fastjson安全漏洞处理
chuanxincui的博客
07-20 459
最终将版本升级到了1.2.7.sec10 兼容版本 <dependency> <groupId>com.alibaba</groupId> <artifactId>fastjson</artifactId> <version>1.2.7.sec10</version> </dependency> 引用参考 如下： 腾讯解决方案https://v2.s.tencent...
Fastjson漏洞复现
Bird&Bird
09-28 3030
目录概述漏洞环境漏洞复现编写恶意类编译并开启RMI服务 概述 fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。 漏洞环境 靶场选择使用vulhub搭建，网址：https://github.com/vulhub/vulhub 下载vulhub，找到fastjson/1.2.24-rce目录，使用docker-compose up -d启动环境。 docker ps -a 查看
Fastjson【RCE1.2.47】漏洞复现
02-24 1350
Fastjson漏洞原理和RCE1.2.47漏洞复现
fastjson框架漏洞复现
没有
10-23 2346
fastjson是阿里巴巴开源的json解析库，通常被用于java object和json字符之间进行转换,提供两个方法json.tojsonstring和json.parseobject/json.parse来分别实现序列化与反序列化。
fastjson（反序列化）漏洞复现
weixin_58954236的博客
09-11 1338
​ FastJson是Alibaba的一款开源Json解析库，可用于将Java对象转换为其Json表示形式，也可以用于将Json字符串转换为等效的Java对象。近几年来FastJson漏洞层出不穷。RCE漏洞的源头：17年FastJson爆出的1.2.24反序列化漏洞。​ 关于FastJson1.2.24反序列化漏洞，简单来说，就是FastJson通过parseObject/parse将传入的字符串反序列化为Java对象时由于没有进行合理检查而导致的。
Fastjson反序列化远程代码执行漏洞
m0_56033865的博客
06-15 4978
据国家网络与信息安全信息通报中心监测发现，开源Java开发组件Fastjson存在反序列化远程代码执行漏洞。攻击者可利用上述漏洞实施任意文件写入、服务端请求伪造等攻击行为，造成服务器权限被窃取、敏感信息泄漏等严重影响。先贴一个解决漏洞的方案： 不过任何升级一定会伴随或大或小的bug,一定要对业务的影响做评估。下面对漏洞原理进行介绍： fastjson 是阿里巴巴开发的 java语言编写的高性能 JSON 库，用于将数据在 Json 和 Java Object之间相互转换。它没有用java的序列化机制，而是自
Java安全篇-Fastjson漏洞
m0_63138919的博客
03-28 3204
本文章参考网上师傅们的解题和代码审计思路，记录自己的学习过程，还希望各位博主 师傅 大佬 勿喷，还希望大家指出错误
fastjson反序列化安全漏洞解决方法
04-25
对于 fastjson 反序列化安全漏洞，可以采取以下几个解决方法： 1.禁止使用 fastjson 进行反序列化，并使用其他 JSON 解析库，例如 Jackson 或 Gson。 2.升级 fastjson 至最新版本，因为 fastjson 团队会在新版本中修复已知的安全漏洞。 3.启用 fastjson 的一些安全配置，例如 ParserConfig.setSafeMode(true)，该配置可以防止对象类型构建器和 getter/setter 非法访问，从而降低攻击面。 4.限制 fastjson 序列化/反序列化的输入和输出，例如限制反序列化的类路径或白名单等。这样可以减少攻击者利用反序列化漏洞进行代码执行的可能性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

狗蛋的博客之旅

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值