搜索 - 腾讯云开发者社区-腾讯云

文章/答案/技术大牛

发布

来自专栏代码审计
代码审计 | FastJSON 1.2.47 不出网利用 —— BCEL 链分析 | setter 与 getter 触发对比
和 TemplatesImpl 链的区别TemplatesImplBCEL是否需要 SupportNonPublicField✅ 必须❌ 不需要环境依赖无需要 Tomcat（tomcat-dbcp）利用难度条件苛刻相对宽松不需要代价就是依赖 Tomcat 环境，目标没有 tomcat-dbcp 依赖就打不了。 getConnection()环境准备pom.xml 加上 Tomcat 依赖：<dependency> <groupId>org.apache.tomcat</groupId> <artifactId>tomcat-dbcp
12610编辑于 2026-03-28
来自专栏红队蓝军
fastjson-BCEL不出网打法原理分析
version>1.2.24</version> </dependency> <dependency> <groupId>org.apache.tomcat</groupId> <artifactId>tomcat-dbcp tomcat-dbcp：结合tomcat-dbcp这个类进行组合达到触发fastjson的目的： tomcat-dbcp里面有一个BasicDataSource类，在反序列化的时候会调用getConnection
2.4K10编辑于 2023-10-04
来自专栏狼组安全团队
fastjson 不出网利用总结
第二种利用方式则需要应用部署在Tomcat应用环境中，因为Tomcat应用环境自带tomcat-dbcp.jar 对于SpringBoot这种自带Tomcat可以直接以单个jar文件部署的需要在maven中配置tomcat-dbcp 利用环境需要实际下载Tomcat应用环境或者在maven中配置如下依赖： <dependency> <groupId>org.apache.tomcat</groupId> <artifactId>tomcat-dbcp
12.4K10发布于 2021-02-04
来自专栏黑伞安全
fastjson黑盒测试与白盒审计
or 8u113 ) fastjson两种利用方式 - 出网或者不能出网 1.服务器出网使用jndi注入 -ldap -rmi 2.服务器不能出网直接本地反序列化 -BasicDataSource(tomcat-dbcp :7.x,tomcat-dbcp:9.x,commons-dbcp:1.4) -TemplatesImpl 出网 jndi利用，其中分为rmi或者ldap,使用ldap限制比rmi小 rmi利用 java $r$d6uG$e5$_$H$X$vT$R$C$A$A"} 黑白盒测试方法利用链及版本 Payload PayloadType Dependencies BasicDataSource local tomcat-dbcp :7.x, tomcat-dbcp:9.x, commons-dbcp:1.4 JdbcRowSetImpl jndi Fastjson 1.2.47及以下 TemplatesImp local need
2.6K30发布于 2020-09-18
来自专栏全栈程序员必看
Java安全之Fastjson内网利用
s, true); 0x02 利用链添加tomcat依赖 <dependency> <groupId>org.apache.tomcat</groupId> <artifactId>tomcat-dbcp
1.3K10编辑于 2022-07-13
来自专栏程序猿DD
一起来看看Fastjson的三种漏洞利用链
</dependency> <dependency> <groupId>org.apache.tomcat</groupId> <artifactId>tomcat-dbcp
1.7K20发布于 2021-09-03
来自专栏Gamma安全实验室
红队漏洞研究-fastjsonBasicDataSource链分析
1.2.24</version> </dependency> <dependency> <groupId>org.apache.tomcat</groupId> <artifactId>tomcat-dbcp 依赖tomcat-dbcp，直接看利用链。利用链没有太乱，比较简单。
2K10编辑于 2022-03-29
来自专栏信安之路
实战 | fastjson 漏洞的发现与测试
/depycode/fastjson-local-echo 适用场景： fastjson <= 1.2.24 1.2.33 <= fastjson <= 1.2.47 jdk <= 8u251 存在 tomcat-dbcp
9.7K11编辑于 2021-12-09

代码审计 | FastJSON 1.2.47 不出网利用 —— BCEL 链分析 | setter 与 getter 触发对比

fastjson-BCEL不出网打法原理分析

fastjson 不出网利用总结

fastjson黑盒测试与白盒审计

Java安全之Fastjson内网利用

一起来看看Fastjson的三种漏洞利用链

红队漏洞研究-fastjsonBasicDataSource链分析

实战 | fastjson 漏洞的发现与测试

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐