2017年反序列化漏洞年度报告

在2017年绿盟科技NS-SRC 处理的漏洞应急中有很大一部分是反序列化漏洞,和以往漏洞形式不一样的是,2017年则多出了fastjson、Jackson等,还有关于XMLDecoder和XStream的应急,本报告重点回顾2017年绿盟科技重点应急,影响面非常广的那些反序列化漏洞。从这个报告中能看出反序列化漏洞的发展,攻击方和防御方不停的对抗过程,bypass和反bypass在这个过程中体现得淋漓尽致。

基于JdbcRowSetImpl的Fastjson RCE PoC构造与分析

这篇文章主要是基于我在看雪2017开发者峰会的演讲而来,由于时间和听众对象的关系,在大会上主要精力都集中在反序列化的防御上。前面的Fastjson PoC的构造分析涉及得很少,另外我在5月份分享的Fastjson Poc构造与分析限制条件太多,所以写下这篇文章。