ys_wanmei的博客

原创 Fastjson 1.2.68漏洞分析与gadget寻找思路

Fastjson最新漏洞RCE利用分析1、背景2、漏洞分析&Gadget利用2.1、漏洞分析2.2、Gadget寻找思路总结Reference1、背景前段时间fastjson爆发了一个可以绕过autotype开关的反序列化漏洞，在1.2.68及以下版本中均受影响，黑客可利用该漏洞直接获取服务器系统权限并远程执行任意命令。2、漏洞分析&Gadget利用前几天看了网上大佬发的漏洞原理分析文档，在这里又重新通过调试代码的方式分析一下大概的漏洞触发原理。2.1、漏洞分析从fastjson