0x01 Brief Description 　　java处理JSON数据有三个比较流行的类库，gson(google维护)、jackson、以及今天的主角fastjson，fastjson是阿里巴巴一个开源的json相关的java library，地址在这里，https ...

一、概述 　　fastjson自2017年爆出序列化漏洞以来，漏洞就一直停不下来。本次主要研究2017年第一次爆出反序列化漏洞。 二、漏洞复现 　　首先在本机简单进行下漏洞复现。 创建Poc类 该类为最终触发利用代码的类，因为是通过JAVA RMI方式读取，所以该类需继承 ...

Fastjson 远程代码扫描漏洞复现 环境搭建 1）反序列化攻击工具源码下载：https://github.com/mbechler/marshalsec 使用maven命令：mvn clean package -DskipTests 编译成.jar文件 启动(默认端口1389 ...

0x00:前言 这个漏洞爆出来之后本来一直打算挑时间去复现，后来一个朋友突然发来他们站点存在fastjson这个漏洞被白帽子发了报告。既然漏洞环境送上门来，我便打算直接下手试一试。在我的想象中当然是一发入魂回车shell(大雾），事实证明事情永远不会这么简单，我怀疑他们偷偷修复了这个漏洞 ...

比赛遇到了，一直没利用成功，这里做个记录。 环境搭建 首先用 vulhub 搭建 fastjson 的漏洞环境。 漏洞环境程序的逻辑为接收 body 的数据然后用 fastjson 解析。 漏洞利用 首先我们需要确认是否存在漏洞，可以采取让服务器发请求到我们的公网 vps ...

重要漏洞利用poc及版本 我是从github上的参考中直接copy的exp，这个类就是要注入的类 网上经常分析的17年的一个远程代码执行漏洞 适用范围 版本 <= 1.2.24 FastJson最新爆出的绕过方法 适用范围 版本 <= 1.2.48 预备知识 ...

目录 fastjson反序列化的一些前置知识 fastjson<1.2.25分析: fastjson<1.2.48分析: 不进入checkAutoType的情况： checkAutoType绕过（需要autoTypeSupport ...

现在思路还是有点乱，希望后面能重新写 先上pon.xml 包 <?xml version="1.0" encoding="UTF-8"?> <project xmlns= ...