Fastjson版本探测

Fastjson版本探测

Posted by SEVENTEEN on April 12, 2022

前言

   之前以为Fastjson只能依靠盲打,没想到有利用报错信息带出version打姿势,借此文学习一下思路。

漏洞复现

   这里可以看到去掉花括号不闭合的话,是会把版本号给露出来的。

代码分析

   可以看到当解析器没读到}时,在报错中就会把版本号一起带出。

There Is Nothing Below

   

Turn at the next intersection.