漏洞介绍

FastJson在解析json的过程中，支持使用autoType来实例化某一个具体的类，并调用该类的set/get方法来访问属性。通过查找代码中相关的方法，即可构造出一些恶意利用链。

通俗理解就是：漏洞利用fastjson autotype在处理json对象的时候，未对@type字段进行完全的安全性验证，攻击者可以传入危险类，并调用危险类连接远程rmi主机，通过其中的恶意类执行代码。攻击者通过这种方式可以实现远程代码执行漏洞的利用，获取服务器的敏感信息泄露，甚至可以利用此漏洞进一步对服务器数据进行修改，增加，删除等操作，对服务器造成巨大影响。

前言

以下为有授权测试，未经授权，千万不要触碰法律。

拿到项目后找到了一个后台登录的页面，然后尝试弱口令（yyds）无果

抓包尝试是否存在注入，这里看到是json请求，就尝试去构造或者破坏原有的json请求，从返回的数据包中可以看到有fastjson字样，如果没有报错回显，就使用dnslog进行验证（后面会说到）。

尝试是否存在fastjson反序列化漏洞，构造以下payload看到了版本信息：