这篇文章主要总结学习目前网上关于1.2.68下绕过Autotype的一些方法用到的思路。 前置知识： checkautotype因为是对要进行反序列化的类进行检测的方法 所以我们只需要让其返回Class类型的实例即可 一般会有以下几种情况通过验证： 1.autoTypeCheckHandlers不为 ...
分类：
Web程序 时间：
2020-08-15 22:35:25
阅读次数：
93
由于最初实现时安全性考虑不足，fastjson为了解决包含接口或抽象类的bean序列化后反序列化将之类型抹去无法拿到原始类型的问题，引入了AutoType，即在序列化的时候，把原始类型记录下来。没想到这带来了后面众多的安全漏洞。因为有了autoType功能，那么fastjson在对JSON字符串进行... ...
分类：
其他好文 时间：
2020-07-12 16:20:51
阅读次数：
47
漏洞原理 Fastjson 是阿里巴巴的开源JSON解析库，它可以解析 JSON 格式的字符串，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。 Fastjson提供了autotype功能，允许用户在反序列化数据中通过“@type”指定 ...
分类：
Web程序 时间：
2020-06-10 22:46:27
阅读次数：
222
原文地址：https://blog.csdn.net/wgzhl2008/article/details/82184240 最近在使用spring-data-redis时，使用fastjson的序列化方式 GenericFastJsonRedisSerializer可以正常序列化，但在反序列化时发生 ...
分类：
Web程序 时间：
2020-04-29 21:57:13
阅读次数：
197
背景 fastjson爆出重大漏洞，攻击者可使整个业务瘫痪 漏洞描述 常用JSON组件FastJson存在远程代码执行漏洞，攻击者可通过精心构建的json报文对目标服务器执行任意命令，从而获得服务器权限。此次爆发的漏洞为以往漏洞中autoType的绕过。 影响范围 FastJson < 1.2.48 ...
分类：
其他好文 时间：
2019-11-22 10:32:20
阅读次数：
95
1.问题描述 在使用redis时，配置自定义序列化redisTemplate为FastJsonRedisSerializer . 1 /** 2 * 自定义redis序列化器 3 */ 4 @SuppressWarnings("unchecked") 5 @Bean("redisTemplate") ...
分类：
Web程序 时间：
2019-11-15 20:42:55
阅读次数：
340
#!/usr/bin/env python# Author:liujun# The essence of decorator is function which is used to decorate another function.# The decorator is used to add s ...
分类：
其他好文 时间：
2018-09-09 11:54:16
阅读次数：
176
//文字依次出来效果 $.fn.autotype = function() { var $text = $(this); // console.log('this', this); var str = $text.html(); //返回被选 元素的内容 var index = 0; var x =... ...
分类：
Web程序 时间：
2018-01-29 11:43:26
阅读次数：
203
解决办法：https://github.com/alibaba/fastjson/wiki/enable_autotype 文摘如下： 一、添加autotype白名单 添加白名单有三种方式，三选一，如下: 1. 在代码中配置ParserConfig.getGlobalInstance().addAc... ...
分类：
Web程序 时间：
2017-11-10 20:11:48
阅读次数：
2831
打开autotype功能 1、JVM启动参数 2、代码中设置 ParserConfig.getGlobalInstance().setAutoTypeSupport(true); 如果有使用非全局ParserConfig则用另外调用setAutoTypeSupport(true)； ...
分类：
Web程序 时间：
2017-07-19 18:27:44
阅读次数：
3470
