fastjson、dnslog

回答: Fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。\[3\]然而，Fastjson在版本1.2.43之前存在一个漏洞，可以被利用来进行copy探测攻击。\[2\]这个漏洞可以通过构造恶意的JSON字符串来实现，攻击者可以通过在JSON字符串中插入特定的payload来触发漏洞。在这个例子中，payload是{"@type":"java.net.URL","val":"http://dnslog"}，它会导致Fastjson在解析时将其转换为Java的URL对象，并发送HTTP请求到指定的dnslog服务器。\[2\]这样，攻击者就可以通过检查dnslog服务器的日志来确认漏洞是否存在。因此，当使用Fastjson时，需要注意版本号，并及时更新到最新版本以避免安全风险。
#### 引用[.reference_title]
- *1* *2* *3* [Fastjson](https://blog.csdn.net/weixin_44887395/article/details/129518873)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insert_down1,239^v3^insert_chatgpt"}} ] [.reference_item]
[ .reference_list ]