117笔记问答Fastjson是一个Java语言编写的JSON解析库，广泛应用于Java项目中。Fastjson的主要漏洞原理是由于缺乏对用户输入数据的有效过滤和校验，导致恶意用户可以通过构造特定的JSON字符串来触发代码执行漏洞。
Fastjson漏洞的特征主要有以下几点：
-
反序列化漏洞：Fastjson在解析JSON字符串时，会将JSON字符串反序列化为Java对象。恶意用户可以构造特定的JSON字符串，其中包含恶意代码，在反序列化过程中触发恶意代码执行。
-
RCE漏洞：Fastjson的反序列化漏洞可以导致远程代码执行（Remote Code Execution，RCE）。攻击者可以通过构造恶意的JSON字符串，在服务端触发远程命令执行，从而控制受影响的系统。
-
默认行为问题：Fastjson在默认情况下会尝试将JSON字符串中的类名转换为实际的Java类，并进行对应的反序列化操作，这可能导致恶意类的加载和执行。
-
沙盒绕过：Fastjson提供了一些配置选项来限制反序列化和代码执行的范围，如autotype、asm等选项。然而，恶意用户可以通过绕过这些限制，执行恶意代码。
总之，Fastjson的漏洞原理主要是由于反序列化过程中对用户输入数据的不完善过滤和校验，导致恶意用户可以构造特定的JSON字符串来触发代码执行漏洞。