摘要：
fastjson在1.2.24漏洞之后，官方的修复方案是引入checkAutotype安全机制，通过黑白名单来实现防御，并且在默认情况下也不支持@type来指定随意对象进行实例化了。下图是1.2.25版本。 下图是在1.2.25之后开启AutoTypeSupport的实例化对象结果。 然后再把@ty 阅读全文
摘要：
fastjson反序列化导致代码执行: fastjson是由alibaba的工程师开发的一个开源json处理框架，使java对象和json数据可以相互转换，其应用十分广泛，我们先来看看fastjson 1.2.24版本的反序列化漏洞。ps:fastjson实例化java对象并不使用原生的readOb 阅读全文