什么是 fastjson

Fastjson是Alibaba開發的Java語言編寫的高性能JSON庫。
攻擊者準備rmi服務和web服務，將rmi絕對路徑注入到lookup方法中，受害者JNDI接口會指向攻擊者控制rmi服務器，JNDI接口向攻擊者控制web服務器遠程加載惡意代碼，執行構造函數形成RCE。
fastjson漏洞歷史
1.fastjson-1.2.24
(fastjson接受的JSON可以通過@type字段來指定該JSON應當還原成何種類型的對象，在反序列化的時候方便操作)
2.fastjson-1.248以下
(checkAutoType中使用TypeUtils.getClassFromMapping(typeName)去獲取class不為空，從而繞過了黑名單檢測)
3.fastjson-1.2.60以下
(在此版本以下，字符串中包含\x轉義字符時可以造成dos漏洞)