Fastjson反序列化审计及验证

1.1 Fastjson反序列化

代码审计

本项目引入的Fastjson版本为1.2.58，该版本存在反序列化漏洞。

已确定了Fastjson版本存在问题，进一步寻找触发Fastjson的漏洞点。

我们关注两个函数JSON.parse()和JSON.parseObject(),并且执行函数内参数用户可控

Edit-Find->Find in path

全局搜索两个关键字，发现本项目存在JSON.parseObject()，如下图所示：

在ProductController.java中使用到了上诉关键词

在151、257、281行均调用了JSON.parseObject()方法，则这几处均存在反序列化。

黑盒验证：

够着url及参数：

方法一： 通过对各个页面的访问并抓包，找到propertyAddJson参数

方法二： 通过抓包，观察数据格式构造url

这里我们优先结合方法一，方法二更适合get请求

构造url：通过代码中的admin/product http://127.0.0.1:8088/tmall/admin/produ