fastjson1.2.24 反序列化漏洞复现

fastjson简介

Fastjson 是一个 Java 库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。
Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。
这里json与java对象之间的转换，便是使用的序列化和反序列化，fastjson的反序列化也就是来自这里。
详细介绍：https://www.runoob.com/w3cnote/fastjson-intro.html

漏洞环境

vulhub

仅是复现漏洞可以使用vulbub，直接使用docker启动漏洞环境即可。
环境安装参考以下链接
安装docker：https://blog.youkuaiyun.com/BThinker/article/details/123358697
vulhub下载：https://github.com/vulhub/vulhub
使用到的命令：

# 启动
docker-compose up -d
# 查看运行情况
docker ps
# 进入容器
docker exec -it [ID] bash
# 停止容器
docker stop [ID]

漏洞复现

使用JNDI注入测试工具：JNDI-Injection-Exploit-1.0-SNAPSHOT
下载地址：https://gitee.com/yijingsec/JNDI-Injection-Exploit
开启漏洞环境，访问

构造post请求，可以修改name参数的值