Fastjson反序列化漏洞复现分析

最新推荐文章于 2025-04-17 15:32:06 发布

原创

最新推荐文章于 2025-04-17 15:32:06 发布

· 5.8k 阅读

1 ·

版权

文章标签：

#前端 #php #开发语言

本文深入分析了Fastjson的反序列化过程，详细讲解了从`parseObject`方法开始的解析流程，包括类加载、setter/getter绑定及属性值恢复等步骤。在漏洞版本分析部分，列举了1.2.24至1.2.68版本的漏洞利用细节和修复措施，讨论了如何通过缓存机制绕过安全检查。此外，还分享了一些有趣的payload，如$ref构造和toString触发。最后给出了相关参考资料链接。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

0x01 反序列化过程

fastjson将字符串转换为对象的方法主要有parse和parseObject

其中parseObject也会调用parse来解析json，下面来分析下反序列化过程

首先写一个测试的javabean

public class TestBean {
public String isMessage;
public String message;
public int id;
public String getMessage() {
System.out.println("getMessage called");
return message;
}
public void setMessage(String message) {
System.out.println("setMessage called");
this.message = message;
}
public TestBean() {
}
public TestBean(String message, int id) {
this.message = message;
this.id = id;
}
public int getId() {
System.out.println("getId called");
return id;
}
public void setId(int id) {
System.out.println("setId called");
this.id = id;
}
@Override
public String toString() {
return "TestBean{" +
"message='" + message + '\'' +
", id=" + id +
'}';
}
}

反序列化测试代码

import com.alibaba.fastjson.JSON;
public class Derjson {
public static void main(String[] args) {
String text = "{\"@type\":\"TestBean\",\"message\":\"hello\",\"id\":888}";
Object obj = JSON.parseObject(text);
  }
}

下断点调试，首先会进入

com.alibaba.fastjson.JSON#parseObject(java.lang.String)

可以看到该方法中调用了parse方法来解析json字符串，跟进该方法

该方法中获取了一个json解析器，一路跟进到

com.alibaba.fastjson.parser.DefaultJSONParser#DefaultJSONParser(java.lang.Object, com.alibaba.fastjson.parser.JSONLexer, com.alibaba.fastjson.parser.ParserConfig)

会在该方法中盘断json字符串是否以{ 或[开头，然后分配不同的解析流程，以其他字符开头的后面的解析过程中会报错

然后回到parse来，接着会进行解析json串的流程