免责声明:由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,公众号及作者不为此承担任何责任,一旦造成后果请自行承担!如有侵权烦请告知,我们会立即删除并致歉。谢...
从 SSRF 到 RCE:一次众测Fastjson<=1.2.68反序列化RCE过程|挖洞技巧
0x01 前言在某次众测过程中使用搜索引擎找到某单位部署的旁站,通过前端JS信息分析找到一处ssrf漏洞。在ssrf测试时根据提示信息得到服务端接收的数据格式为json格式,再通过构造json报错语句...
干货!Fastjson打法总结
免责声明: 本公众号致力于安全研究和红队攻防技术分享等内容,本文中所有涉及的内容均不针对任何厂商或个人,同时由于传播、利用本公众号所发布的技术或工具造成的任何直接或者间接的后果及损失,均由使用者本人承...
Fastjson 68 commons-io AutoCloseable
前言 今天长亭公众号发了一个 fastjson commons-io AutoCloseable 的利用,正好我最近也在分析这个,看了一下,有相同的地方也有不同地方,那我也发出来一起学习交流吧。 我这...
Fastjson 68 commons-io AutoCloseable
前言 今天长亭公众号发了一个 fastjson commons-io AutoCloseable 的利用,正好我最近也在分析这个,看了一下,有相同的地方也有不同地方,那我也发出来一起学习交流吧。 我这...
Fastjson 1.2.68漏洞复现及分析
1、漏洞复现根据网络上的poc复现一下该漏洞;首先创建一个恶意类,该类必须继承或实现期望类,原因见后文。package test;import java.lang.AutoCloseable;impo...
一次实战fastjson1.2.49
某次项目中看到这么一个报错fastjson1.2.49,非常的微妙。刚好逃脱1.2.47的java.lang.Class绕过,但落入了1.2.68的java.lang.AutoCloseable绕过。...
关于blackhat2021披露的fastjson1.2.68链
熟悉fastjson1.2.68反序列化的请直接看三。一、fastjson 1.2.68反序列化历史fastjson 1.2.68可以利用java.lang.AutoCloseable绕过checkA...