前言 Fastjson在1.2.24版本之前存在两条利用链，分别是 JNDI com.sun.rowset.JdbcRowSetImplcom.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl 我们本次也是对这两条链进行分析和过程复现 在fastjson漏洞中，我们往往是寻找一个类，它的构造函数、 getter，setter 方法有问

写在前面 CVE-2017-18349 指的是 fastjson 1.2.24 及之前版本存在的反序列化漏洞，fastjson 于 1.2.24 版本后增加了反序列化白名单； 而在 2019 年，fastjson 又被爆出在 fastjson< =1.2.47 的版本中，攻击者可以利用特殊构造的 json 字符串绕过白名单检测，成功执行任意命令。 关于这两个漏洞的复现环境在 vulhub 下

FastJson在<= 1.2.24 版本中存在反序列化漏洞，主要原因FastJson支持的两个特性： fastjson反序列化时，JSON字符串中的@type字段，用来表明指定反序列化的目标恶意对象类。fastjson反序列化时，字符串时会自动调用恶意对象的构造方法，set方法，get方法，若这类方法中存在利用点，即可完成漏洞利用。 主要存在两种利用方式： JdbcRowSetImpl(J