FastJSON 反序列化漏洞深入分析与利用教学<\/h1>

0x01 背景介绍<\/h2>
FastJSON 是阿里巴巴开源的高性能 JSON 处理库，在 Java 开发中被广泛使用。由于其反序列化机制存在安全漏洞，成为 Java 安全领域的重要研究课题。<\/p>

0x02 FastJSON 反序列化机制分析<\/h2>

核心检测机制<\/h3>

FastJSON 通过 com.alibaba.fastjson.parser.ParserConfig#checkAutoType<\/code> 方法进行类型安全检查：<\/p>


检查 @type<\/code> 指定的类是否在反序列化映射表或缓存中<\/li>
验证类是否位于白名单内<\/li>
高版本中若不指定期望类，此检测机制会直接阻止非授权类的加载<\/li>
<\/ul>
类加载流程<\/h3>

首先尝试从缓存映射表中获取类信息<\/li>
若缓存中不存在，检查白名单权限<\/li>
对于非白名单类且 ClassLoader 为 null 的情况，调用系统 ClassLoader 加载<\/li>
<\/ol>
0x03 文件写入后的类加载问题<\/h2>
ClassLoader 差异分析<\/h3>


系统 ClassLoader<\/strong>：sun.misc.Launcher$AppClassLoader<\/code><\/p>

加载路径：JRE 的 lib 目录、项目 lib 目录<\/li>
无法加载 docbase 目录下的类文件<\/li>
<\/ul>
<\/li>

WebApp ClassLoader<\/strong>：WebappClassLoader<\/code><\/p>

专门加载 docbase 目录下的类<\/li>
需要特定条件才能触发使用此加载器<\/li>
<\/ul>
<\/li>
<\/ul>
绕过技术：异常类加载<\/h3>
通过构造特殊格式的 JSON 数据可以触发 WebApp ClassLoader：<\/p>
{"@type"<\/span>:"java.lang.Exception"<\/span>,"@type"<\/span>:"org.example.Exception"<\/span>}
<\/span><\/span><\/code><\/pre>此格式设置 expectClassFlag<\/code> 为 true，从而使用 WebApp ClassLoader 加载 docbase 下的类。<\/p>
0x04 FastJSON 1.x 全版本绕过技术<\/h2>
@JSONType 注解利用<\/h3>
在目标类上添加 @JSONType<\/code> 注解：<\/p>

FastJSON 在解析时会检测类的字节码信息<\/li>
发现 @JSONType<\/code> 注解后将 jsonType<\/code> 标志位置为 true<\/li>
满足条件后类会被加入缓存，实现 1.2.83 及以下版本的绕过<\/li>
<\/ul>
适用场景限制<\/h3>

docbase 写入场景：需要继承期望类才能正常加载<\/li>
JRE\/lib 目录写入：需要替换懒加载的 JAR 包，实用性较低<\/li>
<\/ul>
0x05 FastJSON 1.2.83 特定版本利用<\/h2>
类名检测绕过<\/h3>
1.2.83 版本对类名进行严格检测：<\/p>

类名以 Exception<\/code> 或 Error<\/code> 结尾时直接返回 null<\/li>
只能通过 sun.misc.Launcher$AppClassLoader<\/code> 加载 JRE 下的类<\/li>
<\/ul>
经典利用技术：懒加载 JAR 替换<\/h3>
目标 JAR 文件<\/strong>：<\/p>

charset.jar<\/code><\/li>
nashorn.jar<\/code><\/li>
dnsns.jar<\/code><\/li>
<\/ul>
实施步骤<\/strong>：<\/p>

构造恶意类并编译<\/li>
通过目录穿越漏洞写入 JRE\/lib 目录<\/li>
替换目标 JAR 文件中的类<\/li>
<\/ol>
0x06 Commons IO 组件优化利用<\/h2>
版本兼容性处理<\/h3>
使用 org.apache.commons.io.input.CharSequenceReader<\/code> 进行适配：<\/p>

支持 Commons IO 2.0-2.7 版本<\/li>
解决高低版本间字节信息差异问题<\/li>
<\/ul>
操作系统适应性挑战<\/h3>
Linux 系统特定问题<\/strong>：<\/p>

低版本可能随机选择 decoder 构造方法<\/li>
未赋值 decoder 会导致解码流空指针异常<\/li>
只能使用 UTF-8 编码，限制二进制数据写入<\/li>
<\/ul>
解决方案<\/strong>：<\/p>

确保正确设置 charset 参数<\/li>
支持二进制数据写入能力<\/li>
<\/ul>
0x07 漏洞利用链集成<\/h2>
支持版本范围<\/h3>

FastJSON: 1.2.68, 1.2.75-1.2.80<\/li>
Commons IO: 2.0-2.7<\/li>
<\/ul>
利用场景选择<\/h3>
二进制写入可用时<\/strong>：<\/p>

直接选择相应 payload 进行利用<\/li>
<\/ul>
二进制写入不可用时<\/strong>：<\/p>

先上传目标文件到服务器<\/li>
根据具体情况选择合适的 payload 策略<\/li>
<\/ul>
0x08 实战注意事项<\/h2>
风险评估<\/h3>

JAR 文件替换可能影响服务正常运行<\/li>
需要精确的目录定位能力<\/li>
建议在测试环境中充分验证后再应用于实战<\/li>
<\/ul>
技术要点总结<\/h3>

准确识别目标环境 FastJSON 版本<\/li>
根据版本特性选择合适的绕过技术<\/li>
考虑 ClassLoader 差异对类加载的影响<\/li>
评估文件写入位置与加载机制的匹配度<\/li>
测试 payload 在不同环境下的兼容性<\/li>
<\/ol>
通过深入理解 FastJSON 反序列化机制和类加载原理，结合具体的环境条件，可以有效地发现和利用相关安全漏洞。本教学文档提供了从基础原理到高级利用的完整知识体系，为安全研究和防护提供技术参考。<\/p>

FastJSON 反序列化漏洞深入分析与利用教学<\/h1>

0x01 背景介绍<\/h2> FastJSON 是阿里巴巴开源的高性能 JSON 处理库，在 Java 开发中被广泛使用。由于其反序列化机制存在安全漏洞，成为 Java 安全领域的重要研究课题。<\/p>

0x02 FastJSON 反序列化机制分析<\/h2>

0x03 文件写入后的类加载问题<\/h2>

0x05 FastJSON 1.2.83 特定版本利用<\/h2>

0x06 Commons IO 组件优化利用<\/h2>

0x07 漏洞利用链集成<\/h2>

0x08 实战注意事项<\/h2>

0x01 背景介绍<\/h2>
FastJSON 是阿里巴巴开源的高性能 JSON 处理库，在 Java 开发中被广泛使用。由于其反序列化机制存在安全漏洞，成为 Java 安全领域的重要研究课题。<\/p>