fastjson文档.docxVIP

Fastjson 一．Fastjson简介:FastJSON是一个很好的java开源json工具类库，以java实现的json解析器和生成器，相比其他同类的json类库，它的序列化和反序列时间最快，体制大、性能优越。实际上其他的json处理工具都和它差不多，接口也有几分相似。Fastjson支持JDK的各种类型，包括基本的JavaBean、Collection、Map、Date、Enum、泛型。优点是无依赖，不需要额外的jar，能够直接跑在JDK上。开源，使用Apache License 2.0协议开源。相关代码实现Fastjson的接口入口处是com.alibaba.fastjson.JSON 包，通常一些序列化操作都在该类的静态方法中实现。用到类User和Group：public class User {privateLong id;privateString name;publicLong getId() { return id; }public void setId(Long id) { this.id = id; }publicString getName() { return name; }public void setName(String name) { = name; }}public class Group {privateLong id;privateString name;private ListUser users = new ArrayListUser();publicLong getId() { return id; }public void setId(Long id) { this.id = id; }publicString getName() { return name; }public void setName(String name) { = name; }public ListUser getUsers() { return users; }public void setUsers(ListUser users) { this.users = users; }}maven repository配置:repositoryidopensesame/idnameAlibaba OpenSource Repsoitory/nameurl/mvn/releases//urlsnapshotsenabledfalse/enabled/snapshots/repository将其设置为flaseFastjson解析json服务端将数据转换json字符串：客户端json字符串转换三．FastJson漏洞分析fastJson远程代码执行漏洞①漏洞原理当用户提交一个精心构造的恶意序列化数据到服务器端时，fastjson在反序列化时存在漏洞，导致远程任意代码执行漏洞。②漏洞影响由于恶意用户能够利用此漏洞进行代码执行，影响到服务器正常操作，而且其影响的fastjson版本为1.2.24及之前版本。虽然该漏洞在android环境下不会触发,但是仍然存在高风险。将会影响到网站业务正常运作，危害严重。③漏洞修复1.将fastjson类库升级到1.2.28或者更新版本。2.代码层面可以直接在meven 依赖包进行版本更新：dependency groupIdcom.alibaba/groupId artifactIdfastjson/artifactId version1.2.28/version/dependency或者直接从/maven2/com/alibaba/fastjson/1.2.28下载，然后进行配置更新。