fastjson调研

• 如何发现存在 Fastjson 漏洞的网站
  从 fastjson 漏洞形成的原因看，是目标网站在解析 json 时，未对 json 内容进行验证，直接将 json 解析成 java 对象并执行，这就给了攻击者可乘之机，构造对应的 payload ，让系统执行，然后达到代码执行，甚至命令执行的目的。

  所以寻找存在 Fastjson 漏洞的方法，就是先找到参数中内容是 json 数据的接口，然后使用构造好的测试 payload 进行提交验证，检测原理跟 sql 注入差不多，首先找到参数提交的地方，然后再用 payload 尝试。

https://cloud.tencent.com/dev... Fastjson探测简介 原理
https://blog.csdn.net/qq_5085... 检测工具
https://www.wangan.com/p/7fy7... 实战