FastJson1.2.24-反序列化RCE学习笔记

前言

我们知道序列化和反序列化的存在是为了面向类的编程思想的语言，传递类方便，才会有序列化和反序列化的概念，每个语言自带的序列化方式都不同，但是无论是Python,JavaScript,PHP,Java，都有对应的包，支持利用JSON为传递类的数据格式，而FastJson是阿里的开源高性能JSON包，在国内运用的相当普遍。因此每当这个包出现漏洞，影响都是非常巨大的。我们学习这个RCE漏洞，能够帮助我们更好的理解Java安全。

Struct2 S2-001漏洞分析

前言

最近总算是入了Java安全的门了，说到Java的漏洞Spring,Weblogic,JBoss,Struct2,FastJson等基本都是绕不过去的坎，这次我们试着来分析一下Struct2的第一个洞，虽然有些年代感了，但还是比较经典的。网上大部分都是Poc很少有人分析这个漏洞的成因，所以这次我们来试试。