fastjson反序列化漏洞分析

发表于2021-04-05|更新于2021-04-06

|阅读量:

fastjson支持AutoType功能，即在序列化的字符串中加入@type字段，fastjson就会将数据反序列化为它指定的类型对象。当Server端存在可用的代码执行链时，如TemplatesImpl或JdbcRowSetImpl，就可以RCE。

参考链接

文章作者: L1nf3ng

文章链接: http://example.com/2021/04/05/fastjson%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/

版权声明: 本博客所有文章除特别声明外，均采用 CC BY-NC-SA 4.0 许可协议。转载请注明来自 Linf3ng's Blog！

评论