Fastjson文件上传漏洞

FastJson是一个流行的Java库，用于将JSON数据序列化和反序列化到Java对象。然而，在某些版本中，FastJson存在一个文件上传漏洞，也被称为CVE-2019-17571。这个漏洞发生在处理用户提交的恶意JSON字符串时，如果包含恶意构造的`@Type`注解和`file`属性，可能导致攻击者通过API将任意文件上传到服务器。

具体来说，攻击者可以构造这样的JSON内容，使得FastJson在解析过程中尝试读取一个外部文件作为JSON的一部分，如果权限设置不当，就可能导致文件包含或者路径遍历攻击。修复此漏洞通常需要更新FastJson库到安全版本，并配置适当的输入验证策略，如限制上传文件的类型和大小，以及禁止读取系统目录。