fastjson反序列化漏洞(CVE-2017-18349)

最新推荐文章于 2024-11-20 10:13:55 发布

原创

最新推荐文章于 2024-11-20 10:13:55 发布 · 965 阅读

2 ·

CC 4.0 BY-SA版权

文章标签：

#web安全 #网络安全

本文分析了Fastjson库的序列化漏洞，展示了如何通过特定构造引发反序列化时的远程代码执行。涉及技术包括Java、JSON和安全漏洞利用。

文章目录

- fastjson

fastjson

fastjson 是阿里巴巴开发的 java语言编写的高性能 JSON 库,用于将数据在 Json 和 Java Object之间相互转换。它没有用java的序列化机制,而是自定义了一套序列化机制。

提供两个主要接口：

JSON.toJSONString 和 JSON.parseObject/JSON.parse 分别实现序列化和反序列化

序列化

"JSON.toJSONString"是Java语言中com.alibaba.fastjson.JSON类提供的一个方法,用于将Java对象转换为JSON格式的字符串

User user = new User("John", "Doe", 30);
String jsonString = JSON.toJSONString(user);
System.out.println(jsonString);

假设User类具有以下属性和构造函数：

public class User {
   
   
    private String firstName;
    private String lastName;
    private int age;

    public User(String firstName, String lastName, int age) {
   
   
        this.firstName = firstName;
        this.lastName = lastName;
        this.age = age;
    }