fastjson_1.2.24反序列化漏洞复现

fastjson_1.2.24_unserialize_CVE-2017-18349

说明	内容
漏洞编号	CVE-2017-18349
漏洞名称	fastjson 1.2.24 反序列化漏洞
漏洞评级	高危
影响范围	fastjson<=1.2.24
漏洞描述	fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链
修复方案	升级 打补丁 上设备

漏洞描述

fastjson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链

漏洞等级

高危

影响版本

• fastjson<=1.2.24

漏洞复现

基础环境

组件	版本
OS	kali-linux
Web Server	chrome
fastjson	1.2.24

漏洞扫描

使用FastjsonScan进行扫描

1. 登录页面，进行抓包

   

2. 修改请求方式为POST，将Content-Type改为application/json，并加上内容

   {
   	"age":25,
   	"name":"Bob"
   }
   

   

3. 使用Fastjson进行扫描

   

4. 扫描到漏洞，得到POC

   

漏洞验证

1. 访问页面，可以看到json格式的输出，进行抓包

   htt