漏洞复现：fastjson远程代码执行漏洞—CNVD-2017-02833

fastjson <= 1.2.24

POC：

  漏洞验证： 

岳府SEC-LAB已经复现了该漏洞，并且相关无害化利用代码已更新至我公司产品“岳戟-AI渗透测试管理平台”。

5.2 漏洞利用获取shell

• 升级至安全版本：
  

较低版本升级至最新版本 1.2.69 可能会出现兼容性问题，建议升级至特定版本的sec10 bugfix版本，请参考以下链接尽快修复：

https://repo1.maven.org/maven2/com/alibaba/fastjson/

• 开启SafeMode：

若无法立即升级版本，可通过开启 SafeMode 来缓解此漏洞。fastjson在 1.2.68 及之后的版本中引入了SafeMode，配置 SafeMode 后，无论白名单和黑名单，都不支持 autoType，可一定程度上缓解反序列化Gadgets 类变种攻击。以下为配置 SafeMode 的三种方式。

1.在代码中配置：