Fastjson反序列化分析

Fastjson是一个Java库，可以将Java对象转换位JSON格式，当然也可以将JSON字符串转换位Java对象

Fastjson特性：

提供了toJSONString()和parseObject()方法来对将Java对象与JSON相互转换。调用toJSONString方法即可将对象转换为JSON字符串，parseObject方法则反过来将JSON字符串转换为对象
Java泛型的广泛支持
支持任意复杂对象

pom.xml

<dependency>
	<groupId>com.alibaba</groupId>
	<artifactId>fastjson</artifactId>
	<version>1.2.24</version>
</dependency>

Person.java

package com.test;

public class Person {
    private String name;
    private Integer age;

    public String getName() {
        return name;
    }

    public void setName(String name) {
        this.name = name;
    }

    public Integer getAge() {
        return age;

    }

    public void setAge(Integer age) {
        this.age = age;
    }
}

测试类

public static void main(String[] args) {
        Person person1 = new Person();
        person1.setName("tom");
        person1.setAge(18);

        String str1 = JSONObject.toJSONString(person1);
        System.out.println(str1);

        Person person2 = new Person();
        person2.setName("lisa");
        person2.setAge(20);

        String str2 = JSONObject.toJSONString(person2, SerializerFeature.WriteClassName);
        System.out.println(str2);
}

我们来看下这两种不同方法的区别

输出：

可以发现第二种在反序列化中，还多打印了get、set方法的键和值

{"age":18,"name":"tom"}
{"@type":"com.test.Person","age":20,"name":"lisa"}

Autotype功能

允许用户在反序列化数据种通过”@type”指定反序列化的Class类型

特性：反序列化过程种会触发get方法、set方法

测试代码：在Person类的set和get方法上加上打印语句

将字符转换为对象的方法

String str3 = "{\"@type\":\"com.test.Person\",\"age\":20,\"name\":\"lisa\"}";
//第一种
Object obj = JSONObject.parse(str3);
System.out.println(obj);

//第二种
JSONObject obj2 = JSONObject.parseObject(str3);
System.out.println(obj2);

输出：

第一种方法将json字符串转为相应的对象，第二种是将json字符串转为相应的JSONObject对象

com.test.Person@2077d4de
{"name":"lisa","age":20}

区别：

我们看下parseObject方法，实际上是将对象进行强转，本质上还是调用了parse

我们在对象上新增get/set方法打印说明，看下get/set调用情况

package com.test;

public class Person {
    private String name;
    private Integer age;

    public String getName() {
        System.out.println("call getName Method");
        return name;
    }

    public void setName(String name) {
        System.out.println("call setName Method");
        this.name = name;
    }

    public Integer getAge() {
        System.out.println("call getAge Method");
        return age;

    }

    public void setAge(Integer age) {
        System.out.println("call setAge Method");
        this.age = age;
    }
}

使用parse进行反序列化

String str3 = "{\"@type\":\"com.test.Person\",\"age\":20,\"name\":\"lisa\"}";
Object obj = JSONObject.parse(str3);
System.out.println(obj);

输出

call setAge Method
call setName Method
com.test.Person@2077d4de

使用parseObject进行反序列化

输出

call setAge Method
call setName Method
call getAge Method
call getName Method
{"name":"lisa","age":20}

总结：

parseObject方法其实也是调用parse方法，会触发该类的构造函数、get、set方法
parse会识别并调用目标类的setter方法

Fastjson反序列化流程分析

如果我们能找到一个类，在反序列化这个类的对象时，fastjson调用其中的setter或者getter方法来给它赋值，同时这个赋值方法存在漏洞，可以执行恶意代码，那么就可以远程代码执行

Person.java

package com.test;

import java.io.IOException;

public class Person {
    private String name;
    private Integer age;

    public String getName() {
        System.out.println("call getName Method");
        return name;
    }

    public void setName(String name) throws IOException {
        Runtime.getRuntime().exec("calc");
        System.out.println("call setName Method");
        this.name = name;
    }

    public Integer getAge() {
        System.out.println("call getAge Method");
        return age;

    }

    public void setAge(Integer age) {
        System.out.println("call setAge Method");
        this.age = age;
    }
}