1. 实战背景与核心场景 在 JNDI 注入内存马的基础利用中，Fastjson 反序列化漏洞是最典型的触发场景之一。Fastjson 作为 Java 生态中常用的 JSON 解析库，其 1.2.24 及以下版本存在反序列化漏洞，攻击者可通过构造恶意 JSON payload，触发 JNDI lookup() 方法，进而加载远程恶意类并注入内存马。…
Java 内存马（六）：JNDI 注入内存马（Fastjson 补充）
Fastjson 反序列化漏洞解析
一、Fastjson 概述 （一）基本介绍 Fastjson 是阿里巴巴开源的高性能 JSON 解析库，支持 Java 对象与 JSON 字符串的快速转换，因速度快、API 简洁、功能完备等特点，被广泛应用于缓存序列化、协议交互等场景。 （二）核心功能 序列化：通过JSON.toJSONString(obj)将 Java 对象转换为 JSON 字符…