详解fastjsonrce

一、什么是fastjsonrce

JSON（JavaScript Object Notation）已经成为现代Web应用程序的广泛使用的数据传输格式，因为其易于人们阅读和编写，也易于计算机处理。凭借其灵活性和互操作性，JSON格式在Web服务调用、客户端和服务器之间的数据传输中已经成为标准。但是，由于JSON是一种开放的标准，因此恶意攻击者可以使用恶意构造的输入数据使系统遭受风险。

与Java相关的一个JSON库是fastjson，它是一个高性能的Java语言实现，具有大量的序列化和反序列化选项。fastjson的漏洞是反序列化漏洞，即简称为RCE。攻击者可以通过构造特定的恶意JSON数据，以获得控制系统的权限。这种漏洞被称为fastjsonrce或者fastjson反序列化漏洞。

二、fastjsonrce的原理

fastjsonrce漏洞的原理是反序列化JSON字符串时，fastjson对其没有进行严格的参数校验，导致可以通过构造特定的JSON字符串，在反序列化过程中执行攻击者指定的恶意代码。这个恶意代码可以是任意的Java代码，从而导致攻击者可以完全控制目标系统。

三、fastjsonrce的危害

fastjsonrce的危害非常严重，攻击者可以完全控制目标系统，获取系统的所有敏感信息，包括数据库凭据、密码等等。攻击者也可以通过控制目标系统来攻击其他系统，造成更大的安全威胁。

四、fastjsonrce的防御措施

为了防止fastjsonrce攻击，可以采取以下几个措施：

1、升级fastjson版本：fastjson已经修复了反序列化漏洞，在升级到最新版本后可以避免此漏洞的攻击。

2、输入验证：必须对外部输入数据进行严格的参数校验，避免恶意构造的JSON字符串进入系统，从而减少安全风险。

3、限制对象的可访问性：在反序列化之前设置白名单，只允许反序列化指定的-class类型，这样可以有效防止反序列化攻击。

五、代码示例

import com.alibaba.fastjson.JSON;
import com.alibaba.fastjson.JSONObject;

public class FastjsonExample {

    public static void main(String[] args) {
        //构造恶意JSON字符串
        String json = "{\"@type\":\"java.lang.Class\",\"val\":\"com.sun.rowset.JdbcRowSetImpl\"}";
        //反序列化
        JSONObject obj = (JSONObject) JSON.parse(json);
        //输出反序列化对象
        System.out.println(obj);
    }
}