Fastjson 反序列化漏洞(CVE-2017-18349)

最新推荐文章于 2025-03-15 13:35:52 发布

原创

最新推荐文章于 2025-03-15 13:35:52 发布

· 1.1k 阅读

12 ·

版权

文章标签：

#网络 #安全 #web安全 #网络安全 #fastjson #反序列化

这一篇是学习JAVA里面的fastjson 反序列化漏洞，这里还是参考别的师傅总结的文章进行学习

Fastjon介绍

Fastjson 是一个 Java 库，可以将 Java 对象转换为 JSON 格式，当然它也可以将 JSON 字符串转换为 Java 对象。

Fastjson 可以操作任何 Java 对象，即使是一些预先存在的没有源码的对象。

Fastjson 源码地址：

GitHub - alibaba/fastjson: FASTJSON 2.0.x has been released, faster and more secure, recommend you upgrade.

Fastjson 中文 Wiki：Quick Start CN · alibaba/fastjson Wiki · GitHub

序列化与反序列化

Java序列化是指把Java对象转换为字节序列的过程；而Java反序列化是指把字节序列恢复为Java对象的过程。

demo：

package org.example;
import com.alibaba.fastjson.JSON;

public class Main {

    public static void main(String[] args) {
        // 将一个 Java 对象序列化为 JSON 字符串
        Person person = new Person("Alice", 18);
        String jsonString = JSON.toJSONString(person);
        System.out.println(jsonString);

        // 将一个 JSON 字符串反序列化为 Java 对象
        String jsonString2 = "{\"age\":20,\"name\":\"Bob\"}";
        Person person2 = JSON.parseObject(jsonString2, Person.class);
        System.out.println(person2.getName() + ", " + person2.getAge());
    }

    // 定义一个简单的 Java 类
    public static class Person {
        private String name;
        private int age;