FastjsonScan：简洁的Fastjson反序列化检测Burp插件-ITADN社区

优质

简介：FastjsonScan是一款专为Burp Suite设计的插件，用于检测基于Fastjson库的应用程序中的反序列化漏洞。它提供简单且高效的扫描功能，帮助开发者快速发现潜在的安全风险。 FastjsonScan 是一个简单的 Fastjson 反序列化检测 Burp 插件，在我进行漏洞挖掘时发现很多 JSON 请求需要检查是否存在 Fastjson 反序列化的安全问题。可以直接编写脚本来完成这项工作，或者结合其他被动扫描器来验证，但我懒得这样做，于是决定一次性解决这个问题，并开始学习如何写一个 Burp 最终制作出了这个插件。 **安装方法** 1. 下载项目中的 `FastjsonScan.jar` 文件。 2. 在 Burp 的 Extender->Extensions 栏中点击 Add 按钮，选择下载好的 jar 文件即可（需要 Java 环境）。 3. 如果成功安装会输出相应的信息。如果未能顺利安装，请尝试更换 JDK 版本 (我使用的是 1.8)。 **使用方法** 该插件的用法很简单，就像使用 repeater 那样，在 Burp 的任何地方选中一个请求后右键选择【Send to FastjsonScan】即可进行检测。

FastJson的反序列化处理

优质

简介：本文探讨了FastJson库在Java应用中的反序列化过程，分析了可能存在的安全风险，并提出相应的防护措施。在处理一个包含嵌套数组的数据结构时，可以使用两个Java Bean类来实现反序列化操作。假设给定的JSON格式如下： ```json [ { listA: [ {id:fds, name:张三}, {id:fds, name:李四} ], test: 432 }, { listA: [ {id:fds, name:张三}, {id:fds, name:李四} ], test: 432 } ] ``` 为了将这段JSON数据反序列化成Java对象，可以定义两个类：`OuterClass`和`InnerClass`。 1. `InnerClass`: 对应于内层的数组元素。 ```java public class InnerClass { private String id; private String name; // Getters and Setters... } ``` 2. `OuterClass`: 包含一个由`InnerClass`对象组成的列表以及一个字符串字段（这里命名为test）。 ```java import java.util.List; public class OuterClass { private List listA; private String test; // Getters and Setters... } ``` 使用Jackson库进行反序列化操作： ```java ObjectMapper mapper = new ObjectMapper(); List result = mapper.readValue(jsonString, new TypeReference>() {}); ``` 这样，就可以将给定的JSON字符串转换为Java对象了。

Fastjson 1.2.75 未修复的反序列化“漏洞”-附件资源

优质

本资源探讨了Fastjson 1.2.75版本中存在的未被官方修复的安全漏洞，重点分析了其反序列化过程中的潜在风险，并提供相关案例和解决方案。 fastjson 1.2.75 版本暂未修补的反序列化漏洞相关的附件资源。

Fastjson 1.2.8反序列化远程代码执行漏洞

优质

简介：Fastjson 1.2.8版本存在一个严重的安全漏洞，允许攻击者通过精心构造的输入触发反序列化的远程代码执行。此漏洞影响了大量使用该库的应用程序的安全性，需要用户及时更新到修复版本以防止潜在的攻击。使用黑白名单方法防御反序列化漏洞的astjson在黑客不断发现新的反序列化Gadgets类的情况下，在autoType关闭的状态下仍然可能绕过黑名单机制，导致远程命令执行的风险。研究表明，该漏洞利用门槛较低，并且可以规避autoType限制，因此风险影响较大。

Java反序列化漏洞检测工具V1.2_WebLogic XML反序列化漏洞检测工具(CVE-2017-10271)

优质

Java反序列化漏洞检测工具V1.2专为识别CVE-2017-10271 WebLogic XML反序列化安全风险设计，帮助用户快速、准确地评估系统脆弱性并采取防护措施。 Java反序列化漏洞检查工具V1.2用于检测Weblogic XML反序列化漏洞（CVE-2017-10271）。

JBoss反序列化漏洞检测工具

优质

简介：本工具用于扫描和检测基于JBoss平台的应用系统中可能存在的反序列化安全漏洞，帮助开发者及时发现并修复潜在的安全隐患。 JBoss中间件的反序列化漏洞检测工具可以用来检查主机上部署的中间件，并获得shell访问权限。

Java RMI反序列化漏洞检测工具

优质

简介：本Java RMI反序列化漏洞检测工具旨在帮助企业安全团队快速识别并修复应用程序中的潜在安全风险，确保系统的稳定性和安全性。检测Java RMI反序列化漏洞涉及识别在使用远程方法调用（RMI）技术时可能出现的安全问题。这类漏洞通常发生在应用程序接收并处理未经验证的输入数据的过程中，可能导致代码执行等严重安全事件。为了有效防护此类风险，需要对系统进行全面审查和测试，确保所有接收到的数据都经过适当的安全检查与过滤。

Java反序列化漏洞检测工具AllInOne

优质

Java反序列化漏洞检测工具AllInOne是一款全面的自动化安全测试软件，专门用于识别和评估基于Java的应用程序中的反序列化漏洞。它通过模拟攻击来检验应用的安全性，并提供详细的报告与修复建议，帮助开发者及时发现并解决潜在的安全隐患。 Java反序列化漏洞检测工具集支持JBoss、WebLogic和Websphere。本工具仅用于帮助管理员发现并展示漏洞的危害性，请勿将其用于非法用途。

Fastjson 1.2.69 反序列化远程代码执行漏洞详解.docx

优质

本文档详细解析了Fastjson 1.2.69版本中的反序列化远程代码执行漏洞，包括漏洞原理、利用条件及修复建议。 Fastjson 1.2.69 版本存在反序列化远程代码执行漏洞。该版本通过黑白名单的方法来防御反序列化攻击，然而当黑客不断发现新的反序列化 Gadget 类时，在 autoType 功能关闭的情况下仍然可能绕过黑白名单的防护机制，导致远程命令执行。研究表明，此漏洞利用难度较低，并且可以避开 autoType 限制，因此潜在风险较大。阿里云应急响应中心建议 Fastjson 用户尽快采取安全措施以防止该漏洞被攻击者利用。

C#中的序列化、反序列化与反射

优质

本文探讨了C#编程语言中序列化、反序列化及反射机制的应用方法和实现原理，帮助开发者深入了解数据转换技术。序列化与反序列化的几个重要类包括SerializableAttribute和Formatter。这些功能可以将对象从一个应用程序发送到另一个应用程序。使用场合主要包括： - Web服务 - 分布式应用

是否确定退出登录?

FastjsonScan：简洁的Fastjson反序列化检测Burp插件

全部评论 (0)