Fastjson 1.2.47 RCE漏洞复现

最新推荐文章于 2025-04-14 21:34:27 发布
最新推荐文章于 2025-04-14 21:34:27 发布
阅读量493 收藏 1
点赞数
文章标签： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/wutiangui/article/details/134259594
版权
本文详细描述了Fastjson的autotype功能可能导致的安全漏洞，攻击者可通过构造恶意数据触发代码执行，Fastjson1.2.47之前的版本还存在缓存绕过。文章提供了一套漏洞复现步骤，包括Java代码编写、HTTP服务、RMI服务启动和构造特定payload进行攻击。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

一、漏洞特征
Fastjson提供了autotype功能，允许用户在反序列化数据中通过“@type”指定反序列化的类型，Fastjson自定义的反序列化机制时会调用指定类中的setter方法及部分getter方法，那么当组件开启了autotype功能并且反序列化不可信数据时，攻击者可以构造数据，使目标应用的代码执行流程进入特定类的特定setter或者getter方法中，若指定类的指定方法中有可被恶意利用的逻辑（也就是通常所指的“Gadget”），则会造成一些严重的安全问题。并且在Fastjson
1.2.47及以下版本中，利用其缓存机制可实现对未开启autotype功能的绕过
影响版本：Fastjson <=1.2.47

访问http://192.168.232.131:8090/即可看到JSON格式的输出
在这里插入图片描述

修改用户信息发现有回显
在这里插入图片描述在这里插入图片描述

二、漏洞复现
1.编译java文件

// javac TouchFile.java
import
最低0.47元/天 解锁文章
fastjson 1.2.47 RCE漏洞保姆级复现
ALLEN'Blog
02-01 1417
Fastjson提供了autotype功能，允许用户在反序列化数据中通过“@type”指定反序列化的类型，Fastjson自定义的反序列化机制时会调用指定类中的setter方法及部分getter方法，那么当组件开启了autotype功能并且反序列化不可信数据时，攻击者可以构造数据，使目标应用的代码执行流程进入特定类的特定setter或者getter方法中，若指定类的指定方法中有可被恶意利用的逻辑（也就是通常所指的“Gadget”），则会造成一些严重的安全问题。并且在Fastjson。
Fastjson 1.2.47反序列化漏洞复现
m0_54899775的博客
03-16 3560
Fastjson 1.2.47反序列化漏洞复现
fastjson_1.2.47rce漏洞复现
weixin_71090536的博客
01-23 2326
Fastjson是一个 Java 语言编写的高性能 JSON 解析器和生成器
CVE重要漏洞复现-Fastjson1.2.24-RCE漏洞
最新发布
zj2084的博客
04-14 853
fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，也可以从JSON字符串反序列化到JavaBean。即fastjson的主要功能就是将Java Bean序列化成JSON字符串，这样得到字符串之后就可以通过数据库等方式进行持久化了阿里巴巴公司开源Java开发组件Fastjson存在反序列化漏洞（CNVD-2022-40233）。攻击者可利用该漏洞实施任意文件写入、服务端请求伪造等攻击行为，造成服务器权限被窃取、敏感信息泄漏等严重影响。
fastjson1.2.47漏洞复现
m0_63699746的博客
07-05 932
​在前后端数据传输交互中,经常会遇到字符串(String)与json,XML等格式相互转换与解析，其中json以跨语言，跨前后端的优点在开发中被频繁使用，基本上可以说是标准的数据交换格式。相比1.2.24，1.2.47过滤了许多恶意类的上传姿势以及关闭了autoType，例如双写等绕过，但是并不阻挡hacker的攻击脚步，发现在fastjson中有一个全局缓存，当有类进行加载时，如果autoType没开启，会尝试从缓存中获取类，如果缓存中有，则直接返回。浏览器输入ip：端口。
fastjson1.2.47以下 RCE 漏洞复现
问题很多的小明
09-21 1376
author：test Ox01 具体环境 War包部署在tomcat,war包使用fastjson解析 tomcat版本 java版本 0x02 尝试是否可以接受请求（也可以没有这一步） 先尝试是否可以收到ldap请求 post数据包如下： POST /fastjson/ HTTP/1.1 Host: x.x.x.x:8080 Cache-Control: max-age=0 Upgrade...
Fastjson【RCE1.2.47】漏洞复现
02-24 2452
Fastjson漏洞原理和RCE1.2.47漏洞复现
fastjson1.2.47远程代码漏洞解决方案.rar
07-12
在1.2.47版本及其以下，Fastjson存在一个严重的远程代码执行（Remote Code Execution，RCE）漏洞，使得恶意用户有可能通过精心构造的数据输入，执行任意的系统命令，对系统的安全性构成严重威胁。 ## 漏洞背景与...
漏洞复现 Fastjson 1.2.47-rce
Lucky1youzi的博客
01-05 1093
用burp得扩展插件FastjsonScan来进行检测，将拦截得包右击鼠标发送Extensions/FastjsonScan ,如果扫描的目标存在漏洞，在窗口下面的Request窗口会展示使用的payload,如果没有漏洞，则会展示原始的请求与响应。fastjson于1.2.24版本后增加了反序列化白名单，而在1.2.48以前的版本中，攻击者可以利用特殊构造的json字符串绕过白名单检测，成功执行任意命令。构造反弹shell,进行base64编码，推荐在线工具，可以快速做bash反弹shell命令。
fastjson_1.2.47 反序列化漏洞复现
acdcccc的博客
09-19 344
fastjson 1.2.47 反序列化漏洞复现
fastjson-1.2.47
12-07
fastjson-1.2.34
fastjson-1.2.47.jar
03-16
fastjson-1.2.47.jar,用于将java转换成json**********
fastjson最新版本库1.2.47
12-25
fastjon最新版本库1.2.47，分享资源，一起学习。
fastjson-1.2.47-API文档-中文版.zip
04-08
赠送jar包：fastjson-1.2.47.jar； 赠送原API文档：fastjson-1.2.47-javadoc.jar； 赠送源代码：fastjson-1.2.47-sources.jar； 包含翻译后的API文档：fastjson-1.2.47-javadoc-API文档-中文(简体)版.zip 对应Maven信息：groupId：com.alibaba，artifactId：fastjson，version：1.2.47 使用方法：解压翻译后的API文档，用浏览器打开“index.html”文件，即可纵览文档内容。 人性化翻译，文档中的代码和结构保持不变，注释和说明精准翻译，请放心使用。
fastjson-1.2.47及源码、简单示例
08-30
fastjson-1.2.47及源码、简单示例
vulhub复现之fastjson1.2.47漏洞复现
m0_70483044的博客
07-14 3231
目录什么是json？fastjson有啥用？什么是fastjson？json语法规则为什么要引进AutoType？漏洞原理怎么确认存在漏洞的?漏洞复现反弹shell。
渗透测试-Fastjson 1.2.47 RCE漏洞复现
道阻且长，行则将至
07-11 7945
漏洞概述 Fastjson是阿里巴巴公司开源的一款 json 解析器，其性能优越，被广泛应用于各大厂商的Java项目中。Fastjson 近几年被爆出的反序列化 RCE 漏洞影响无数厂商，2017年官方主动爆出了 fastjson 1.2.24 的反序列化漏洞以及升级公告，fastjson 于1.2.24 版本后增加了反序列化白名单。 而在2019年6月，fastjson 又被爆出在 fastjson< =1.2.47 的版本中，攻击者可以利用特殊构造的 json 字符串绕过白名单检测，成功执行任意
【vulhub漏洞复现】Fastjson 1.2.47 反序列化漏洞复现
一剑开天门！的博客
02-17 2208
【vulhub漏洞复现】Fastjson 1.2.47 反序列化漏洞复现
Fastjson1.2.47版本安全漏洞及修补建议
对于Fastjson来说，如果存在已知的安全漏洞，那么在Fastjson1.2.47以及之前版本中可能还没有被修复。这些漏洞可能涉及到远程代码执行、拒绝服务攻击（DoS）等多种安全威胁。开发者在使用这些版本时应谨慎，并考虑...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值