Fastjson反序列化远程代码执行漏洞产生原因及修复建议
Fastjason是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。由于其序列化jason文件速度快且中文文档非常全面，所以为国内广大开发人员所应用。
fastjson是目前java语言中最快的json库，比自称最快的jackson速度要快。
第三方独立测试结果可参考：https://github.com/eishay/jvm-serializers/wiki
一、漏洞产生原因：
Fastjson使用黑白名单用于防御反序列化漏洞,并允许用户在输入JSON串时通过“@type”键对应的value指定任意反序列化类名。在特定条件下可绕过默认autoType关闭限制，攻击远程服务器，风险影响较大(也就是通常所指的“Gadget”)。
二、受影响的版本：
特定依赖存在下影响 ≤1.2.80
三、漏洞等级：
风险评级：高危
四、官方修复方案：
1. 升级到1.2.83版本
从源代码可以看到：
- 该版本源代码删除了很多白名单对应的hash;
- checkAutoType(String typeName, Class expectClass, int features)方法，添加了新的校验包含mask和autoTypeSupport，用来规避未经验证的autoType的注入。
2. 原来1.2.68以后到1.2.80的版本：开启配置safeMode，让白名单和黑名单都不支持autoType，从而可杜绝反序列化Gadgets类变种攻击。
在1.2.68版本中，fastjson增加了safeMode的支持。safeMode打开后，完全禁用autoType。所有的安全修复版本sec10也支持SafeMode配置。
打开SafeMode功能(1.2.68之后的版本)
有三种配置SafeMode方式，如下:
①在代码中配置
ParserConfig.getGlobalInstance().setSafeMode(true);
注意，如果使用new ParserConfig的方式，需要注意单例处理，否则会导致低性能full gc。
②加上JVM启动参数
-Dfastjson.parser.safeMode=true
如果有多个包名前缀，用逗号隔开
③通过fastjson.properties文件配置。
通过类路径的fastjson.properties文件来配置，配置方式如下：
fastjson.parser.safeMode=true
safeMode场景如何做autoType
在1.2.68之后的版本，提供了AutoTypeCheckHandler扩展，可以自定义类接管autoType, 通过ParserConfig#addAutoTypeCheckHandler方法注册。
怎么判断是否用到了autoType
看序列化的代码中是否用到了SerializerFeature.WriteClassName
JSON.toJSONString(obj, SerializerFeature.WriteClassName); // 这种使用会产生@type
使用JSONType.autoTypeCheckHandler
在fastjson 1.2.71版本中，提供了通过JSONType配置autoTypeCheckHandler的方法，比如：
来源：https://github.com/alibaba/fastjson/wiki/fastjson_safemode
中科天齐 漏洞治理专家
中科天齐由中科院研究员李炼博士创立，以自主研究成果WuKong静态软件安全测试工具为主打产品，团队凭借多年在程序分析领域的技术积累，致力打造安全漏洞治理领域新生态的高新技术企业。
WuKong静态软件安全测试工具
WuKong是一款国产信创SAST产品，采用自主专利技术的程序分析引擎，多种创新性的静态分析技术，结合深度学习和人工智能等多种方法，能够对软件代码进行全方位的 安全扫描和安全分析。