云安宝-云匣子 多处 FastJson反序列化RCE漏洞复现

### 复现 FastJSON 反序列化远程代码执行漏洞 CNVD-2020-30827 #### 准备工作 为了复现此漏洞，需准备以下条件： - 使用受影响版本的 FastJSON 库（<= 1.2.64），因为这些版本存在反序列化过程中处理 `@type` 字段的安全缺陷[^1]。 - 构建一个能够接收 JSON 输入的应用程序接口。 #### 漏洞原理说明 FastJSON 在解析含有 `@type` 的 JSON 数据时会尝试实例化对应的 Java 类对象。如果应用程序允许不受信任的数据源提供此类输入，则可能触发任意代码执行。特别是当开启 autotype 功能后，风险显著增加，攻击者可以通过精心构造的 payload 实现 RCE (Remote Code Execution)。 #### 利用过程描述 构建恶意负载的关键在于找到合适的 gadget chain 来达成最终的目标——执行任意命令。对于 CNVD-2020-30827 特定情况而言，通常涉及利用某些标准库中的类作为起点，比如 JdkSerializeRMI 或其他能间接导致 shell 命令被执行的方法路径。 具体来说，可以创建如下结构的 JSON 负载用于测试目的（请注意这仅限于合法授权下的安全研究环境内操作）: ```json { "@type": "java.net.InetAddress", "val": "localhost" } ``` 上述例子展示了最基础形式之一；实际攻击场景下可能会更加复杂，并且依赖具体的业务逻辑以及可用 gadgets 组合而成更强大的链路来完成整个攻击面覆盖。 #### 安全建议 鉴于该类型的漏洞可能导致严重的安全隐患，在生产环境中应严格限制对外部可控数据使用 FastJSON 进行反序列化操作，并及时升级至官方发布的最新稳定版以获得必要的修复补丁和支持。