【神兵利器】——206、Burpsuite之FastjsonScan

最新推荐文章于 2025-11-14 10:47:25 发布
原创 最新推荐文章于 2025-11-14 10:47:25 发布 · 545 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#1024程序员节 #web渗透 #逻辑漏洞 #渗透测试 #信息安全

插件介绍

FastjsonScan是一个简单的Fastjson反序列化检测burp插件，项目地址：​​​​​​https://github.com/Maskhe/FastjsonScan

插件使用
  • 下载项目中的FastjsonScan.jar文件 
  • 在Burpsuite的Extender->Extensions栏点击Add，选择下载好的jar文件就可以(执行环境是Java)

使用方法

使用方法也很简单，就像使用repeater一样，你可以在burp的任何地方选中一个请求右键选择【Send to FastjsonScan】将这个请求发送到Fastjson Scan，然后就只需要等待扫描结束

了解本专栏 订阅专栏 解锁全文
BurpSuite插件 -- FastjsonScan（反序列化检测）
Web安全工具库
12-24 7617
你可以因为现任不好二分手，但千万不要认为别人更好，永远有人更好，眼下便是更好。。。 ---- 网易云热评 一、插件介绍： 一个简单的Fastjson反序列化检测burp插件，我在挖洞的时候看到一些json请求总是想要检测一下有没有Fastjson反序列化问题，本可以直接写一个脚本来跑或者搭配其他被动扫描器来验证，但是我太懒了，先不说burp搭配其他扫描器了，就连找到特定目录下的脚本我都觉得麻烦，所以，我决定一劳永逸地解决这个问题，于是去学习了一下burp插件的写法糊弄出了这个插件 二、...
漏洞发现-BurpSuite插件-Fiora+Fastjson+Shiro
xiaoheizi的博客
07-29 2750
命令行下通过java启动程序的命令：java -jar Fiora-202100220-jar-with-dependencies.jar。安装：打开Burp——Extender——Extensions——Add——Select file——选择Fiora的jar包——打开。如果扫描的目标存在漏洞，在窗口下面的Request窗口会展示使用的payload,如果没有漏洞，则会展示原始的请求与响应。所以直接搜索关键字：【log4j】。配置插件Proxy，如果不配置，默认端口是为空的，运行就会报错。
BurpFastJsonScan:一款基于BurpSuite的被动式FastJson检测插件
03-19
BurpFastJsonScan 一款基于BurpSuite的被动式FastJson检测插件 自言自语 据听说它的诞生是因为作者在实际项目由于不够细 没有每个json都尝试进行一次fastjson的突破检测 导致差点错过了三个目标预算，好在同事够细!!! :) 作者事后后悔不已 于是乎〜 它就诞生了 简介 BurpFastJsonScan一个希望能节省一些渗透时间好进行划水的扫描插件 该插件插件BurpSuite传进来的每个不同的域名+端口的json流量进行一次fastjson dnsLog出网检测 目前的功能如下 dnsLog出网检测（由于使用的是恶意payload所以能出来基本上该站就死了） 编译方法 这是一个java maven项目 ：： /BurpFastJsonScan/pom.xml 安装完对应的包以后 编译文件地址：BurpFastJsonScan / out / artif
FastjsonScan 项目使用教程
最新发布
gitblog_00081的博客
11-14 416
FastjsonScan 项目的目录结构如下： ``` FastjsonScan/ ├── src/ │ └── burp/ │ ├── FastjsonScan.java │ └── ... ├── images/ │ └── ... ├── .gitignore ├── LICENSE ├── README.md └── ... ``` ### 目录结构介绍
一款基于BurpSuite的被动式FastJson检测插件-BurpFastJsonScan(一)
SuperherRo的博客
08-24 1454
一款基于BurpSuite的被动式FastJson检测插件
FastjsonScan:一个简单的Fastjson反序列化检测burp插件
04-13
FastjsonScan 一个简单的Fastjson反序列化检测burp插件 我在挖洞的时候看到一些json请求总是想要检测一下有没有Fastjson反序列化问题，本可以直接写一个脚本来跑或者搭配其他被动扫描器来验证，但是我太懒了，先不说burp搭配其他扫描器了，就连找到特定目录下的脚本我都觉得麻烦，所以，我决定一劳永逸地解决这个问题，于是去学习了一下burp插件的写法糊弄出了这个插件 安装方法 下载项目中的FastjsonScan.jar文件 在burp的Extender->Extensions栏，点击Add,选择下载好的jar文件就可以了（执行环境是Java) 如果成功安装，会输出如下信息，如果未能成功安装可以换下jdk版本？？我用的1.8 使用方法 使用方法也很简单，就像使用repeater一样，你可以在burp的任何地方选中一个请求右键选择【Send to FastjsonScan
推荐项目：BurpFastJsonScan - 一款高效的JSON安全扫描插件
gitblog_00097的博客
04-09 741
推荐项目：BurpFastJsonScan - 一款高效的JSON安全扫描插件 项目简介 是一个专为网络安全研究人员和渗透测试人员设计的开源工具，它是一个Burp Suite扩展，用于检测JSON响应中的潜在安全漏洞。通过集成在Burp Suite中，此插件能够帮助用户快速有效地识别并利用可能存在的Fastjson反序列化漏洞。 技术分析 核心特性 Fastjson兼容性：BurpFastJs...
FastjsonScan.jar 用于burp插件，扫描Fastjson漏洞
07-05
burp插件
【BurpSuite】插件开发之fastjson4burp改造
HWHXY的博客
02-11 879
sqlmap4burp开发者把代码重构了，fastjson scan文件也比较清楚，所有的项目文件都放在BurpExtender.java里面，比较适合我们这种初学者。内容会持续更新，主要作用是备忘。
Fastjson-Scanner:burp扩展以查找在哪里使用fastjson
03-20
Fastjson-扫描仪 闲来无事，在家写了个fastjson初始组件检测，用于探测定位是否使用fastjson。 使用的poc如下： fastjson_poc = '{{"@type":"java.net.URL","val":"http://%s"}:"x"}' % val 优点 不仅能够探测POST中的json数据，还能够判断GET中的json数据，支持urlencode，urldecode等。 两种数据对应格式如下： 得到： GET /?json={"fastjson":"example"} 邮政： POST / ... {"fastjson":"example"} 使用方法 导入插件即可重新开始使用，对数据包进行被动扫描，由于使用的是burp自带的dnslog，所以稍微有些电脑延迟，代码里写了sleep 10来获取结果。 当导入数据包后，在burp内可以看到Fastjson
BurpSuite安装fastjson插件
归零者的博客
10-14 1273
burpsuite是渗透测试利器，特别是可以安装扩展包，大大提高检测能力。
一个简单的Fastjson反序列化检测burp插件-FastjsonScan(二)
SuperherRo的博客
10-16 2314
一个简单的Fastjson反序列化检测burp插件
一款检测Fastjson反序列化的burp插件
一个安全研究员
09-01 7159
用了都说好
FastjsonScan 安装和配置指南
gitblog_07600的博客
09-13 752
### 项目基础介绍 FastjsonScan 是一个用于检测 Fastjson 反序列化漏洞的 Burp Suite 插件。Fastjson 是阿里巴巴开源的一款高性能的 JSON 处理器，但在某些版本中存在反序列化漏洞，可能导致安全风险。FastjsonScan 插件旨在帮助安全研究人员和渗透测试人员快速检测这些漏洞。 ### 主要编程语言 该项目主要使用 Java 语言编写，适用于 Bur...
fastjson的包下载地址
weixin_65920414的博客
11-21 6921
6.进入后拖到最下面，选择合适的连接进入。7.然后就可以选择版本下载jar包。2.进入后搜索fastjson。4.选择自己喜欢的版本进入。
工具分享 | FastjsonScan是一个简单的Fastjson反序列化检测burp插件，一键getshell,多个SRC挖掘大佬都在使用的。
IT软件汇
09-18 485
工具分享 | FastjsonScan是一个简单的Fastjson反序列化检测burp插件，一键getshell,多个SRC挖掘大佬都在使用的。
BurpSutie拓展插件推荐-漏洞扫描插件
Boom！脑洞大爆炸的博客
07-04 3579
BurpSutie拓展插件推荐-漏洞扫描插件
工欲善其事，必先利其器 | Burp Suite技能提升
logic1001的博客
04-13 1541
网络安全永远不会停止发展，威胁也在不断演变。正所谓“工欲善其事，必先利其器”，与时俱进地保持对Burp Suite新插件和技术的了解至关重要，通过本文章我们已经深入探讨了Burp Suite一些实用功能和插件，希望本文章对您的网络安全工作有所帮助。
深入理解Burpsuite-1.7.30：渗透测试利器
此外，Burp Suite之所以受到许多安全研究员和渗透测试工程师的青睐，关键在于它强大的手动操作功能。不同于完全自动化的工作模式，Burp Suite允许测试者通过手动配置参数来控制测试流程，这一点对于需要高度定制化...
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

FLy_鹏程万里

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值