Fastjson反序列化安全风险解析

需积分: 0 41 浏览量更新于2024-08-05 收藏 1.31MB PDF 举报

"S14-fastjson反序列化1 - 关于Java中Fastjson库的使用与安全风险" Fastjson是阿里巴巴开发的一个Java语言编写的高性能功能完备的JSON库。它可以直接将Java对象转换为JSON字符串，也可以直接将JSON内容转换为Java对象。在这个过程中，`JSON.parseObject`和`JSON.parse`是两个主要的方法，它们用于将JSON字符串反序列化为Java对象。 1. **JSON.parseObject**: `JSON.parseObject`方法用于将JSON字符串解析为Java的POJO（Plain Old Java Object）类实例。它会尝试根据JSON字符串中的键值对映射到目标类的属性。例如，如果你有一个`User`类，`JSON.parseObject(jsonString, User.class)`会创建并返回一个`User`对象，其中的属性被JSON字符串中的相应值填充。 2. **JSON.parse**: `JSON.parse`方法则更加通用，它将JSON字符串解析为JSON的抽象数据类型，如JSONObject或JSONArray。这个方法并不直接创建Java对象，而是返回一个表示JSON结构的对象。 3. **Fastjson序列化与自省**: 在序列化时，`toJSONString`方法用于将Java对象转换为JSON字符串。如果传递了`SerializerFeature.WriteClassName`，Fastjson会启用自省模式。这意味着在生成的JSON字符串中，会包含一个`@type`字段，用来指示JSON数据对应的Java类名。这对于反序列化时确定正确的类非常重要。 4. **反序列化过程与安全风险**: 当Fastjson反序列化JSON数据时，它会根据`@type`字段来实例化相应的Java类，并调用对应类的get/set方法。这就是Fastjson反序列化漏洞的来源。攻击者可以通过构造恶意的JSON字符串，利用这个机制来执行任意代码。例如，如果反序列化的类包含了不受信任的用户输入，那么攻击者可以控制`@type`字段，导致恶意类的实例化和方法执行。 5. **安全防范措施**: 为了防止这种安全风险，开发者应该避免直接反序列化不受信任的JSON数据。可以考虑以下几点： - 使用白名单限制反序列化的类。 - 关闭自省功能，即在序列化时不添加`@type`字段。 - 更新Fastjson到最新版本，因为开发者通常会在新版本中修复已知的安全问题。 - 对于必须反序列化的数据，先进行验证和清理，确保没有恶意的`@type`字段。 6. **示例代码**: 在给定的代码中，`User`类定义了三个属性：name、age和hashMap。`toString`方法用于以字符串形式表示User对象。在序列化时，如果使用`toJSONString`方法并传入`SerializerFeature.WriteClassName`，那么生成的JSON字符串将包含类名信息。 7. **使用Fastjson的注意事项**: 要正确、安全地使用Fastjson，开发者需要理解其序列化和反序列化的工作原理，同时关注安全更新和最佳实践，以确保应用程序的稳定性和安全性。在处理用户输入时，应始终进行适当的验证和过滤，以防止潜在的安全威胁。

这三段代码中，可以发现用了 JSON.parseObject 和 JSON.parse 这两个方

法, JSON.parseObject 方法中没指定对象，返回的则是 JSONObject 的对象。

JSON.parseObject 和 JSON.parse 这两个方法差不多， JSON.parseObject 的底层调用的还是

JSON.parse 方法，只是在 JSON.parse 的基础上做了一个封装。在序列化时， FastJson 会调用

成员对应的 get 方法，被 private 修饰且没有 get 方法的成员不会被序列化，而反序列化的时候

在，会调用了指定类的全部的 setter ， publibc 修饰的成员全部赋值。其中有意思的是这个

@type ，在反序列化的过程中会自动创建对象，并且调用 setter 方法进行赋值。



反序列化漏洞

说明

   user.setAge(age);

   user.setName(name);

   user.setHashMap(hashMap);

   System.out.println("==============================================");

   String s = JSON.toJSONString(user);

   User user1 = JSON.parseObject(s, User.class);

   System.out.println(user1);

   System.out.println("==============================================");

   String s1 = JSON.toJSONString(user, SerializerFeature.WriteClassName);

   JSONObject jsonObject = JSON.parseObject(s1);

   System.out.println(jsonObject);

   System.out.println(jsonObject.getClass().getName());

   System.out.println("==============================================");

   String s2 = JSON.toJSONString(user, SerializerFeature.WriteClassName);

   Object user2 = JSON.parseObject(s2, Object.class);

   System.out.println(user2);

   System.out.println(user2.getClass().getName());

   System.out.println("==============================================");

   String s3="

{\"@type\":\"fastjson.example.use.User\",\"age\":25,\"hashMap\":

{\"@type\":\"java.util.HashMap\"},\"name\":\"zhangsan\"}";

   Object o = JSON.parseObject(s3, Object.class);

   if(o instanceof User){

     User user3=(User) o;

     int age1 = user3.getAge();

     System.out.println(age1);

   }

 }

}

==============================================

User{name='lisi', age=21, hashMap={}}

==============================================

{"name":"lisi","hashMap":{},"age":21}

com.alibaba.fastjson.JSONObject

==============================================

User{name='lisi', age=21, hashMap={}}

fastjson.example.use.User

==============================================

剩余12页未读，继续阅读

梁肖松

粉丝: 29
资源: 300

Fastjson反序列化安全风险解析

针对文法：G[E]:E->E+T|T T->T*F|F F->(E)|i 用c++编写程序利用LR(0)分析方法对该文法进行语法分析，构建i+i*i句型分析过程中符号栈的变化过程并输出分析表

为正规文法G[S] S→aA|bQ A→aA|bB|b B→bD|aQ Q→aQ|bD|b D→bB|aA E→aB|bF F→bD|aE|b 构造相应的最小的DFA。

把这个转成一个表格： 状 态 动作 GOTO ┐ ∨ ∧ a ( ) # A B C D 0 s5 s7 s6 1 2 3 4 1 s8 a0 2 r2 s9 r2 r2 3 r4 r4 r4 r4 4 r6 r6 r6 r6 5 s7 s6 10 6 s5 s7 s6 11 2 3 4 7 r8 r8 r8 r8 8 s5 s7 s6 12 3 4 9 s5 s7 s6 13 4 10 r5 r5 r5 r5 11 s8 s14 12 r1 s9 r1 r1 13 r3 r3 r3 r3 14 r7 r7 r7 r7

针对文法：G[E]:E->E+T|T T->TF|F F->(E)|i 用c++编写程序利用LR(0)分析方法对该文法进行语法分析，构建i+ii句型分析过程中符号栈的变化过程并输出分析表

ST的buck-boost参考例程

最新资源

针对文法：G[E]:E->E+T|T T->TF|F F->(E)|i 用c++编写程序利用LR(0)分析方法对该文法进行语法分析，构建i+ii句型分析过程中符号栈的变化过程并输出分析表