通过访问页面抓包，找到propertyAddJson参数，构造url进行黑盒验证。使用payload尝试访问后，DNSlog显示访问，证明漏洞存在。内网环境中，使用BurpSuite专业版本的Burp Collaborator client验证，构建POC：{"@type":"java.net.Inet4Address","val":"mlbqit7ocev29vd3k5w205zqchi86x.burpcollaborator.net"}粘贴到propertyJson字段，Burp Collaborator client接收探测信息，证实Fastjson反序列化漏洞。
Fastjson反序列化审计及验证
Fastjson版本1.2.58存在反序列化漏洞。代码审计后，确认Fastjson在ProductController.java中的151、257、281行调用了JSON.parseObject()方法，引发反序列化风险。通过访问页面抓包，找到propertyAddJson参数，构造url进行黑盒验证。使用payload尝试访问后，DNSlog显示访问，证明漏洞存在。内网环境中，使用BurpSuite专...
FastJson反序列化分析
1. 打开断点，进入parse方法，查看初始化过程。2. 传入参数后，进入DefaultJSONParser对象创建，这里执行了多个操作，包括配置信息初始化，类和反序列化器绑定。3. 接下来，分析ParserConfig对象的实例化过程，理解配置信息是如何绑定到对象上的。4. 继续跟进，分析DefaultJSONParser构造函数中，JSONScanner对象...
序列化与反序列化——FastJSON、Jackson、Gson性能测试
首先，FastJSON、Gson和Jackson在处理序列化任务时，对不同对象数量的性能表现存在差异。在对象数量较少时（1-1000），Gson的性能最佳，但当对象数量增加到10000和100000级别时，FastJSON和Jackson展现出更稳定高效的性能，Jackson尤其在大规模数据处理中表现优异。在反序列化测试中，Gson在小规模数据（1-100）...
fastjson 1.2.24源码分析以及漏洞复现
反序列化，这个过程将字节序列恢复为Java对象。例如在使用Python做自动化测试时，通过字符串名字调用相同名字的方法。Fastjson的功能允许通过字符串引用如`@type":"com.sun.rowset.JdbcRowSetImpl`来执行内部方法。由此，我们能利用Fastjson提供的便利，通过调用对应的函数来验证漏洞。在渗透测试中，漏洞的验...
记一次难忘的json反序列化问题排查经历
在用户登录接口中，将用户实体使用fastjson工具转换成了字符串，并保存到了Redis当中。然后在filter中，通过一定的key获取Redis中的字符串，并使用fastjson工具反序列化成用户实体。但在反序列化的过程中，filter却抛出了异常。我刚开始以为是json数据格式有问题，将json字符串复制到在线json工具sojson.com后，...
fastjson为什么经常爆出安全漏洞?
防范fastjson反序列化漏洞的措施包括：避免将不可信的输入解析为JSON数据，严格控制允许解析的JSON数据格式；使用安全的反序列化库替代fastjson，例如使用Gson或Jackson等库；对输入数据进行严格的验证和清理，避免接受可能引起安全问题的数据；加强对代码的审查，定期进行安全审计和漏洞扫描，及时修复发现的安全...
Fastjson 1.2.24反序列化漏洞深度分析
关于parse(String text)、parseObject(String text)和parseObject(String text, Class clazz)三个方法，我们进行了测试。在FastJsonTest类中，变量及其setter\/getter关系如下表所示。接下来，我们分别使用三种方式将JSON字符串反序列化成Java对象。首先，我们运行Object obj = JSON.parse(jsonstr);这种方式。结...
fastjson到底做错了什么?为什么会被频繁爆出漏洞?
具体来说，AutoType允许在反序列化时，fastjson会读取@type字段，尝试将JSON内容反序列化为目标对象，并调用其setter方法。黑客可以构造恶意的JSON字符串，利用AutoType特性实现远程命令执行漏洞，入侵目标服务器。从v1.2.25起，fastjson默认关闭AutoType支持，并加入了黑名单和白名单校验。然而，黑客通过各种...
Java常用的JSON序列化与反序列化工具实践
针对JSON序列化与反序列化的实践，Java中常见的工具如fastjson、fastjson2、jackson和gson在处理新增字段时各有特点。例如，fastjson默认情况下可能不会以标准JSON格式输出，需要通过SerializerFeature调整；fastjson2则默认支持标准格式，但版本差异可能导致兼容性问题；jackson在默认设置下对缺失属性敏感，需特殊处理...
fastjson是怎么实现JSON的序列化和反序列化的
-fastjson 为 json格式的字符串（String类型）-T 为 与 json格式对应的 自定义 java.class。· parseObject -将 json字符串 反序列化为 java.util.List sherineZJU List<T> oldk = JSONArray.parseArray(fastjson,T.class);\/\/transform the json to List<T>123123 -fastjson 为 json格式的字符串...
