手机端发现fastjson，有利用可能吗

请问这种有利用可能么，有利用方式么

可以尝试抓接口，不过这东西限制比较大，得一点一点的测试

先确定下版本 如果最新的 直接就gg了

低于1.2.48可以auto Type绕过

手机端使用了fastjson  不代表服务器端使用了fastjson。
可以通过https://github.com/alibaba/fastjson/issues/3077 或者畸形报错探测下服务器端是否使用。

手机端利用比较难吧, 找到用了fastjson的方法类, 并且该方法需要对外暴露为接口, 然后在构造安卓的命令执行, 最后把代码挂到网页上, 用户访问时要选同意打开外部app...

服务器端不一定使用了fastjson

可以试试，成功利用后回来分享下

mark 成功了楼主分享一下

可以测试一下，成功的话记得分享一下案例 可以先试试dnslog用常用payload