mwei83的博客

原创 fastjson1.2.24漏洞分析及源码分析

近期出现fastjson的远程代码执行漏洞，fastjson国内知名度很高的json库，趁这个机会学习下，与大家分享下漏洞原因，fastjson反序列化流程。远程代码执行漏洞反序列原理1 通过入参类型，生成反序列化器。2 反序列化器调用入参类型的无参构造函数，创建对象。3 解析序列化字符串，取出Key,Value值，调用相应的setKey(Value)方法。这个漏洞主要是fastjso...