背景介绍

Fastjson是Alibaba开发的Java语言编写的高性能JSON库，用于将数据在JSON和Java Object之间互相转换，提供两个主要接口JSON.toJSONString和JSON.parseObject/JSON.parse来分别实现序列化和反序列化操作。项目地址：https://link.zhihu.com/?target=https%3A//github.com/alibaba/fastjson

随着该框架的使用，安全人员发现了一系列反序列化漏洞，每一次都是IT界的“地震”。漏洞合集见:

Fastjson 1.2.25-1.2.47反序列化漏洞分析 - 先知社区

关于fastjson指纹识别

如果有报错回显，可以故意构造不完整json请求，返回的数据包会进行报错。