Skip To Main Content
package org.FJ on Muck Rack

package org.FJ

As seen in: CSDN
Is this you? As a journalist, you can create a free Muck Rack account to customize your profile, list your contact preferences, and upload a portfolio of your best work. Claim your profile
Back to package org.FJ’s profile

Articles by package org.FJ

【Web】浅聊Fastjson原生反序列化--原理与高版本绕过_fastjson 原生反序列化-CSDN博客

|
By Object InputStream, import com.alibaba.fastjson.JSONArray, Import Java.io.object InputStream, package org.FJ
| CSDN
目录 分析 FastJson<=1.2.48 FastJson>=1.2.49 EXP FastJson<=1.2.48 FastJson>=1.2.49 后话 核心速览 找到一个能够readObject的类，调用toString方法，然后调用toJSONString方法，再调用getter，实现反序列化利用。 利用链： BadAttributeValueExpException#readObjct -> JSONArray#toString -> JSONArray#toJSONString -> getter 分析 JSONArray implement了Serializable接口，且本身与继承的父类JSON都没有实现readObject方法的重载(也就不会过滤黑名单类)，此外，其父类JSON类的toString方法可以触发toJSONString方法 JSON#toString JSON#toJSONString 使用 toJSONString 方法将一个 Java 对象转换为 JSON 字符串时，会自动调用对象的 getter 方法来获取属性的值...
Open in Who Shared Issue with article?
Show More