FastJson漏洞深度分析与防护指南

一、FastJson漏洞概述

FastJson是阿里巴巴开源的高性能JSON处理库，但在其发展过程中暴露出多个严重的安全漏洞，主要集中在反序列化方面。

1.1 主要漏洞版本历史

• 1.2.25之前：默认开启autotype功能，存在严重反序列化漏洞
• 1.2.48：修复了缓存的全局map问题
• 1.2.68：增加safeMode安全模式
• 1.2.69：修复由于expectClass产生的autoType绕过问题

二、FastJson漏洞利用条件

2.1 基本利用条件

1. FastJson版本：通常<=1.2.47版本存在高危漏洞
2. 反序列化方法：使用FastJson的JSON.parseObject()方法

2.2 特殊场景利用

即使不直接调用JSON.parseObject()，以下方法也可能存在风险：

• JSON.parse()
• JSON.parseArray()
• 通过反射间接调用

三、SpringBoot环境中的FastJson风险

3.1 SpringBoot默认配置

SpringBoot默认使用Jackson进行JSON处理，但开发者可以替换为FastJson：

1. 默认依赖：spring-boot-starter-web自动引入Jackson-databind
2. 替换方法：通过自定义HttpMessageConverter实现

3.2 FastJson集成配置示例

@Configuration
public class FastJsonConfig {
    @Bean
    public HttpMessageConverters fastJsonHttpMessageConverters() {
        FastJsonHttpMessageConverter fastConverter = new FastJsonHttpMessageConverter();
        FastJsonConfig fastJsonConfig = new FastJsonConfig();
        
        fastConverter.setFastJsonConfig(fastJsonConfig);
        fastConverter.setDefaultCharset(StandardCharsets.UTF_8);
        fastConverter.setSupportedMediaTypes(Collections.singletonList(MediaType.APPLICATION_JSON));
        
        return new HttpMessageConverters(fastConverter);
    }
}

3.3 风险点

• 使用@RequestBody注解时可能隐式调用FastJson的反序列化方法
• 替换默认JSON解析器后，漏洞扫描可能遗漏

四、漏洞检测方法

4.1 静态代码分析

1. 搜索代码中的JSON.parseObject()、JSON.parse()、JSON.parseArray()调用
2. 检查Spring配置中是否替换了默认JSON处理器

4.2 动态分析方法

• 运行时监控JSON反序列化调用栈
• 检查实际使用的JSON库版本

五、防护措施

5.1 基本防护

1. 升级版本：使用FastJson 1.2.69及以上版本
2. 启用safeMode：在配置中设置安全模式

fastJsonConfig.setSerializerFeatures(SerializerFeature.DisableCircularReferenceDetect);
fastJsonConfig.setSafeMode(true);

5.2 其他建议

1. 在SpringBoot环境中考虑使用默认的Jackson而非FastJson
2. 对输入JSON数据进行严格校验和过滤
3. 实施最小权限原则，限制反序列化类的范围

六、FastJson与Jackson对比

七、总结

FastJson虽然性能优异，但其安全历史问题较多，特别是在反序列化方面。开发者应当：

1. 保持FastJson版本最新
2. 在非必要场景考虑使用Jackson
3. 实施严格的安全配置
4. 采用多种检测手段确保无漏洞遗漏

通过以上措施，可以有效降低FastJson带来的安全风险，保障应用安全。