Fastjson 漏洞复现1.2.24-rce

1.原理

fastjson是阿里巴巴开源的一个json解析库，能将json对象和json字符串进行序列化和反序列化操作。autotype功能是是漏洞的关键，autotype允许用户通过@type字段来选择具体的类进行反序列化。如果用户没有对反序列化的类进行严格限制，攻击者可以构造恶意的json字符串来触发这个漏洞

2.实验准备

攻击机kali ip：192.168.3.183

靶机ubuntu ip：192.168.3.163

1.Bp抓包会用到的插件

​​​​​​Releases · Maskhe/FastjsonScan (github.com)

2.fastjson工具

我是直接下载到靶机里，这个工具跟log4j2用的工具是一样的，如果你看过我的log4j2文章，你可以直接把这个工具复制到fastjson文件里应用

git clone