最近项目里用到了阿里巴巴的fastjson工具，遇到一些问题，记录分享一下 github说明： fastjson是阿里巴巴
转载
2022-12-26 16:02:24
1194阅读
影响范围Fastjson 1.2.68漏洞类型Fastjson 1.2.68 AutoType Bypass(通过异常类)org.openqa.selenium + Fastjson可造成信息泄露绕过类对象的访问利用条件Gadget必须继承自 Throwable 异常类漏洞概述该漏洞和以往的 AutoType Bypass不同，要求 Gadget必须继承自 Throwable 异常类，
转载
2024-04-19 10:55:30
47阅读
FastJson之autotype bypass在1.2.25版本之后，添加了checkAutoType方法。在方法中引入了白名单（AutoType）、黑名单（denyList）和autoTypeSupport选项checkAutoType方法把ubuntu靶机的fastjson版本换到1.2.25，使用原始的payload进行debug{"xxx":{"@type":"com.sun.rowse
转载
2021-08-04 10:40:00
752阅读
2评论
安全升级公告最近发现fastjson在1.2.24以及之前版本存在远程代码执
原创
2022-11-04 11:05:43
403阅读
# FastJson2JsonRedisSerializer开启AutoType的研究与应用
在现代微服务架构中，数据的序列化与反序列化是十分重要的一部分，尤其是在使用Redis作为缓存时。FastJson是Java领域中一个常用的JSON库，而FastJson2JsonRedisSerializer则是其在Spring Data Redis中的一个序列化工具。本文将深入探讨FastJson2J
文章目录1、频繁出现的反序列化漏洞2、parse()及parseObject()3、AutoType及安全校验3.1 AutoType安全校验3.2 AutoType黑名单机制3.3 SafeMode安全机制3.4 攻击思路4、反序列化攻击模拟4.1 TemplatesImpl攻击调用链路4.2 攻击类Translet生成4.3 构造攻击JSON串4.4 攻击模拟5、修复方案 1、频繁出现的反序
转载
2023-12-21 16:00:44
112阅读
autoType is not support问题出现，排查，本地复现，解决过程记录。
原创
2023-06-10 06:12:39
1833阅读
最近发现进程运行日志中出现很多下面的日志：com.alibaba.fastjson.JSONException: autoType is not support. com.jd.ac.domain.api.offline.UserInfoat com.alibaba.fastjson.parser.ParserConfig.checkAutoType(ParserConfig.java:
转载
2023-02-16 00:00:42
2613阅读
错误原因是fastJson反序列化的时候发生了异常解决方法是:添加autotype白名单在resource下建立fastjson.properties文件 输入一下内容#fastjson反序列化时自动解析白名单配置，多个实体用逗号分隔fastjson.parser.autoTypeAccept=com.rc.openapi.domain.mysql.entity.DBillnoRules就可以解决
原创
2023-02-20 23:29:55
703阅读
近日，fastjson远程代码执行漏洞的利用方式公开。此漏洞由于fastjson autotype在处理json对象时，对于@type的字段未能有效的进行安全验证，攻击者可以插入危险类，利用rmi接口调用远端服务器上的恶意文件执行命令。漏洞名称：fastjson远程代码执行漏洞威胁等级：高危影响范围：fastjson<=1.2.47漏洞类型：任意代码执行漏洞利用难度：中等fastjson介绍
转载
2023-12-21 13:47:58
55阅读
文章目录1. AutoType 何方神圣？1.1 type字段1.2 setAutoTypeSupport2.反序列化攻击3.AutoType 安全模式4.参考 1. AutoType 何方神圣？参考 fastjson的主要功能就是将Java Bean序列化成JSON字符串，这样得到字符串之后就可以通过数据库等方式进行持久化了。但是，fastjson在序列化以及反序列化的过程中并没有使用Java
转载
2023-08-07 13:35:37
48阅读
JSON，全称：JavaScript Object Notation，作为一个常见的轻量级的数据交换格式，应该在一个程序员的开发生涯中是常接触的。简洁和清晰的层次结构使得 JSON 成为理想的数据交换语言。 易于人阅读和编写，同时也易于机器解析和生成，并有效地提升网络传输效率。现在主流的对象与 JSON 互转的工具很多，我们主要介绍今天的主角，阿里巴巴的开源库 - Fastjson。Fastjso
转载
2024-08-22 12:10:50
687阅读
## GenericFastJsonRedisSerializer autotype 科普文章
### 概述
在使用 Redis 作为缓存时，我们经常需要将对象序列化后存储到 Redis 中，并在需要时再反序列化回来使用。FastJson 是一个流行的序列化和反序列化 JSON 数据的 Java 库，而 GenericFastJsonRedisSerializer 是一个基于 FastJson
原创
2023-11-17 15:14:51
97阅读
# GenericFastJsonRedisSerializer与SecurityContextImpl的结合使用
在现代软件开发中，缓存机制是提高应用性能的重要手段之一。Redis作为一种高性能的键值存储系统，被广泛用于缓存解决方案。而在Java开发中，Spring框架提供了丰富的支持来集成Redis。本文将介绍如何使用`GenericFastJsonRedisSerializer`与`Sec
原创
2024-07-22 08:28:32
77阅读
来源 | https://www.anquanke.com/post/id/2070290x01 漏洞背景2020年05月28日， 360CERT监测发现业内安全厂商发布了Fastjson远程代码执行漏洞的风险通告，漏洞等级：高危。Fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到Jav
原创
2021-03-06 20:21:14
1411阅读
学习笔记：Django之settings文件设置 import os
# Build paths inside the project like this: os.path.join(BASE_DIR, ...)
BASE_DIR = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))
# 配置文件中的BASE_DIR用于获取
1、问题描述： 今天在使用谷歌浏览器访问IIS上搭建的一个项目，该项目设置的端口号为6000，结果不能访问，出现了如下图所示的提示信息： 2、问题所在： 出现此类问题的原因不是服务器端的问题，而是谷歌浏览器（FF浏览器也有）对一些特殊的端口进行了限制，具体有哪些端口进行了访问限制，请参见本文末。 3、问题解决： 最简单的办法就是直接修改搭建项目的端口号，避开这些谷歌限制的端口号
0x01 漏洞背景2020年05月28日， 360CERT监测发现业内安全厂商发布了Fastjson远程代码执行漏洞的风险通告，漏洞等级：高危。Fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。Fastjson存在远程代码执行漏洞，autotype开关的限制可以被绕过
转载
2021-06-04 21:41:55
432阅读
2020年05月28日， 360CERT监测发现业内安全厂商发布了Fastjson远程代码执行漏洞的风险通告，漏洞等级：高危。
转载
2021-07-18 19:28:02
569阅读
http://www.dba.cn/book/fastjson/FASTJSONAPI/2-2FASTJSONJSONFIELD.html
转载
2023-07-03 14:05:37
113阅读
