Fastjson反序列化漏洞原理与漏洞复现(基于vulhub靶场)

一个想当文人的黑客

已于 2025-01-09 11:09:22 修改

阅读量5.5k

点赞数 44

分类专栏： web Java反序列化漏洞文章标签：安全 java 开发语言代码复审网络安全 Java反序列化漏洞 fastjson反序列化漏洞

于 2024-03-27 14:34:46 首次发布

本文链接：https://blog.csdn.net/SENMINGya/article/details/137076487

版权

🍬 博主介绍

👨‍🎓 博主介绍：大家好，我是 hacker-routing ，很高兴认识大家~
✨主攻领域：【渗透领域】【应急响应】 【Java、PHP】 【VulnHub靶场复现】【面试分析】
🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！

0x1 前言

Fastjson反序列化漏洞也是一个知名度比较高的Java反序列化漏洞，他是阿里巴巴的开源库，下面我将主要带大家了解Fastjson反序列化漏洞的原理以及相关知识点的内容，然后带师傅们去利用rmi服务去复现这个Fastjson反序列化漏洞！！！

0x2 漏洞原理及介绍

1、什么是json？

json是一种数据格式，对于我们互联网来说，我们服务器和客户端有大量的数据需要进行传输。以前通用的方式是xml，但是xml数据体重太大，效率低下，所以就有了另外一种数据格式，叫json。

json一共有两种体现：

json对象、json数组
json对象：json本身是一个字符串，{建：值, 建：值}

举例：

{
  "name" : "routing",
  "2003-11-11",
  "age" : 20,
  "likes" : ["看电影" , "看书"]
}

2、Fastjson概述

FastJson是啊里巴巴的的开源库，用于对JSON格式的数据进行解析和打包。其实简单的来说就是处理json格式的数据的。例如将json转换成一个类。或者是将一个类转换成一段json数据。

Fastjson 是一个 Java 库，提供了Java 对象与 JSON 相互转换。

toJSONString()方法：（序列化）将json对象转换成JSON字符串；
parseObject()方法：（反序列化）将JSON字符串转换成json对象。

使用方式：

//序列化
String text = JSON.toJSONString(obj); 
//反序列化
VO vo = JSON.parse(); //解析为JSONObject类型或者JSONArray类型
VO vo = JSON.parseObject("{...}"); //JSON文本解析成JSONObject类型
VO vo = JSON.parseObject("{...}", VO.class); //JSON文本解析成VO.class类