阿一专题

[阿一网络安全] fastjson 代码执行(CNVD-2019-22238)

漏洞原理: 漏洞利⽤FastJson autotype处理Json对象的时候,未对@type字段进⾏完整的安全性验证,攻击者可以传⼊危险类,并调⽤危险类连接远程RMI主机,通过其中的恶意类执⾏代码。攻击者通过 这种⽅式可以实现远程代码执⾏漏洞,获取服务器敏感信息,甚⾄可以利⽤此漏洞进⼀步的对服务器数据进⾏操作。 攻击流程: 制作反弹Payload -> 开启HTTP服