fastjson的引用检测

最新推荐文章于 2024-05-16 09:59:39 发布

转载最新推荐文章于 2024-05-16 09:59:39 发布 · 352 阅读

0 ·

CC 4.0 BY-SA版权

原文链接：http://www.cnblogs.com/July74/p/5803169.html

文章标签：

#json

使用Fastjson进行序列化时，默认情况下会检测并避免对象间的循环引用，但这种机制可能导致解析后的数据出现nullpoint异常。本文介绍了解决此问题的方法。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

　　使用fastjson序列化时，若有自定义对象，默认会检查对象之间的重复性，若两个值完全相同，后面的值就会引用的前面的值，

类似："object":{"$ref":"$[0].object"},然后经过JSON.parseArray("")成JSONArray，获取json对象，引用的值就无法与之前的数据关联，所以会出现nullpoint。

解决办法是JSON.toJSONString(..., SerializerFeature.DisableCircularReferenceDetect)，禁止循环引用检测。

转载于:https://www.cnblogs.com/July74/p/5803169.html

确定要放弃本次机会？

福利倒计时

: :

立减 ¥

普通VIP年卡可用

立即使用

weixin_30608503

关注关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
分享

复制链接

分享到 QQ

分享到新浪微博

扫一扫
举报

举报

基于 Fastjson 重复引用和循环引用所导致的生产问题 - 出现$ref引用，分析原因，提出解决办法（很透彻）

Java Punk

03-25

2543

不要关闭 FastJson 的引用检测机制，很大概率会导致出现“StackOverflowError”异常

BurpFastJsonScan:一款基于BurpSuite的被动式FastJson检测插件

03-19

BurpFastJsonScan 一款基于BurpSuite的被动式FastJson检测插件自言自语据听说它的诞生是因为作者在实际项目由于不够细没有每个json都尝试进行一次fastjson的突破检测导致差点错过了三个目标预算，好在同事够细!!! :) 作者事后后悔不已于是乎〜它就诞生了简介 BurpFastJsonScan一个希望能节省一些渗透时间好进行划水的扫描插件该插件插件BurpSuite传进来的每个不同的域名+端口的json流量进行一次fastjson dnsLog出网检测目前的功能如下 dnsLog出网检测（由于使用的是恶意payload所以能出来基本上该站就死了）编译方法这是一个java maven项目：： /BurpFastJsonScan/pom.xml 安装完对应的包以后编译文件地址：BurpFastJsonScan / out / artif

参与评论您还未登录，请先登录后发表或查看评论

【亲测免费】探索快速且精准的Fastjson漏洞检测工具：FastjsonScan

最新发布

gitblog_00045的博客

05-16

1518

探索快速且精准的Fastjson漏洞检测工具：FastjsonScan 在今天这个高度数字化的时代，数据的安全性至关重要。作为Java世界中广泛使用的JSON解析库，Fastjson因其高效性能深受开发者喜爱。然而，随之而来的是频繁出现的安全隐患。为此，我们向您推荐一款强大且持续更新的漏洞探测工具——FastjsonScan，旨在帮助您及时发现并解决Fastjson的反序列化漏洞。项目介绍 Fa...

FastJSON 案例测试

gao_chun

09-16

1873

FastJSON是一个很好的java开源json工具类库，相比其他同类的json类库，它的速度的确是fast，最快！但是文档做得不好，在应用前不得不亲测一些功能。实际上其他的json处理工具都和它差不多，api也有几分相似。一、JSON规范 JSON是一个标准规范，用于数据交互，规范的中文文档如下： http://www.json.org/json-

Fastjson

N的博客

03-14

2598

Fastjson：我一路向北，离开有你的季节

FastJson中“$ref 循环引用检测”的问题

帅帅的困哒哒

03-01

1055

关闭循环引用：Object object = new ObjectMapper().readValue(JSON.toJSONString(procInst.getForm(), SerializerFeature.DisableCircularReferenceDetect), Object.class);查看错误日志，发现是阿里巴巴的Fastjson在转换数据出现的错误，错误中提到了$ref，了解了一下是因为在传输的数据中出现相同的对象时，六、禁止序列化（但实际是要用的，没办法，不用的话可以禁用）

详解在springmvc中解决FastJson循环引用的问题

10-20

在Spring MVC中，要应用FastJson并禁用循环引用检测，需要在Spring的配置文件中正确配置MessageConverter。具体来说，需要配置FastJsonHttpMessageConverter类，并将SerializerFeature....

解决FastJson中"$ref重复引用"的问题方法

10-17

1. 关闭FastJson的引用检测机制，使用SerializerFeature.DisableCircularReferenceDetect特性来进行序列化。这样做虽然可以解决引用问题，但不推荐使用，因为当存在真正的循环引用时，会引发StackOverflowError异常...

SpringBoot整合FastJson过程解析

10-16

例如，`WriteMapNullValue`允许序列化时包含值为null的字段，而`DisableCircularReferenceDetect`则禁用了循环引用检测，以防止无限递归的问题。通过以上步骤，我们就成功地将SpringBoot与FastJson进行了整合。...

去掉fastjson循环引用功能

05-30

如果你不想使用fastjson循环引用功能，可以通过如下方式去掉循环引用检测： 1. 在使用fastjson的时候，不要设置SerializerFeature.DisableCircularReferenceDetect属性，即不要写成如下形式： String jsonStr = ...

Fastjson扫描测试工具.rar

09-08

在渗透测试中遇到json数据一般都会测试下有没有反序列化，然而JSON库有Fastjson,JackJson,Gson等等，那么怎么判断后端不是Fastjson呢？可以构造特定的payload来进行探测分析

【FastJSON】解决FastJson中“$ref 循环引用”的问题

weixin_33704234的博客

07-08

186

【需求与环境描述】 0、开发环境　　SSH，EasyUI，MySQL 1、需求要求：　　(1)首先获取所有的贷款订单数据，即List <LoanOrder>。　　(2)然后从单个贷款订单实体LoanOrder去访问贷款人实体Loaner的信息。 2、实体之间的关系描述　　(1)LoanOrder实体与Loaner实体是双向的多对一和一对多关系。　　(2)L...

Fastjson在实战中的检测与利用

why811的博客

10-08

5483

参考：https://github.com/alibaba/fastjson/issues/3077java.net.InetAddress这个gadget在1.2.49禁止了。如果上面这个poc可以出dnslog说明很大概率可以rce。如果以上这些poc可以出dnslog，则可以说明后端百分百是fastjson。最近发现有个容易被人弄错的地方，就是fastjson的payload。网上的Payload，发现有的目标可以成功，有的目标不能成功，这是为什么？

JsonExp！fastjson漏洞批量检测工具

leah126的博客

03-23

1419

若出现dnslog回弹，可根据前面的编号去寻找对应的payload自1.4.0版本起，编号由7-9位的随机数字+字母组成编号.地址随机地址自1.4.0版本新增功能，参考自pocsuite3需挂全局代理才能访问并申请资源，使用此功能将对发包速度产生较大影响。若存在dnslog回弹结果，将会生成/result/xxx_dnslog.html文件，没触发dnslog则不会生成该文件。LDAP检测若为内网环境/目标无法DNS解析时，可使用工具在本地/云服务器起一个LDAP服务。

Fastjson探测简介

Fly_鹏程万里

05-08

4836

Fastjson探测作用在渗透测试中遇到json数据一般都会测试下有没有反序列化，然而JSON库有Fastjson,JackJson,Gson等等，那么怎么判断后端不是Fastjson呢？可以构造特定的payload来进行探测分析，下面介绍一些常用的payload，且这些Payload可以在AutoType关闭的情况下进行测试~~~ Fastjson探测方法方法一：java.net.Inet4Address 请求方式 {"@type":"java.net.Inet4Address","val

Fastjson批量检查及一键利用工具

qq_50854662的博客

10-30

4787

0x01 序章上次讲解过手动利用fastjson，但讲的过于太简单了。根据大家的反应，收集如下几个问题。 1、如何盲打fastjson 2、判断fastjson的指纹 3、各版本payload以及使用ldap模式监听。下面我就一一解答，我只是把我在网上查到的资料消化后分享给大家，如果有大佬觉得哪里不对，还望不吝赐教。这次还带来了一键利用及检测工具，链接在文末。注：本文仅用于技术讨论与研究，严禁用于任何违法用途，违者后果自负 0x02 环境搭建这个不用多说了吧，使用vulhub搭建。启动fastj

fastjson漏洞批量检测工具

weixin_46211944的博客

09-07

696

将工具的流量代理到burpsuite中（此工具不能适应所有的情况，可通过该方式对payload进行适当调整）将请求中需要检测的位置替换为$payload$，其余位置不变，保存为req.txt（文件名任意）格式： {.........$type$://$ip$/路径....}#注释内容。此时LDAP服务器可收到路径信息，可根据路径信息来定位触发漏洞的payload。若使用-req参数进行检测时，需要设置需要检测的变量值位置。格式：。注意：。注意：。

解决FastJson中“$ref 循环引用检测”的问题的几种方式

十步杀一人-千里不留行

09-28

7410

一、现象：项目中用json形式来存储一个集合对象，用fastjson发现多了一些东西：$ref，了解之后才发现是重复引用的问题。 [ { "id":"1", "orderList":[ { "id":2, "date":"2020-08-17 12:57:21", "name":"帽子" }, { "id":3, "date":"2020-08-17 12:57:21", "name":"鞋子" } ], "r

2023最新最全 fastjson 漏洞批量检测工具使用教程。

logic1001的博客

11-29

3907

内容概要：包括内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。