Fastjson反序列化黑盒探测与利用边界复盘

安全研究人员在一次针对某金融企业外网SRC的授权渗透测试中，通过向JSON参数插入畸形闭合符触发500错误、堆栈暴露com.alibaba.fastjson.JSONException，确认目标使用Fastjson，再以{"@type":"java.lang.AutoCloseable"}探针验证autoType可解析，随后复盘了从黑盒AutoType探测到容器层面利用边界的技术过程。 该复盘由阿里先知平台发布，作者声明文中漏洞利用链、Payload及测试手法均在合法授权的SRC靶场与内部测试资产上进行，仅供技术研究与安全防御参考，不得用于未授权的真实生产环境。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。