登录 注册
导航
T00ls » 八卦水区(Discussion )

手机端发现fastjson，有利用可能吗

ddddd 2020-05-06 22:12 634 10
dddddUID:10745潜水会员楼主五年陈老会员勋章十年陈老会员勋章
积分:154TCV:1TuBi:160坛龄:10年103天
#1
请问这种有利用可能么，有利用方式么
whojeffUID:10665注册会员活跃会员勋章五年陈老会员勋章十年陈老会员勋章T00ls土豪勋章名人堂荣誉勋章T00ls名人堂成员
积分:362TCV:3TuBi:909坛龄:10年103天活跃4级
2020-05-06
#2
可以尝试抓接口，不过这东西限制比较大，得一点一点的测试
closedUID:7827注册会员活跃会员勋章五年陈老会员勋章十年陈老会员勋章T00ls土豪勋章T00ls发展基金贡献勋章
积分:325TCV:0TuBi:1102坛龄:10年131天活跃5级
2020-05-07
#3
先确定下版本 如果最新的 直接就gg了
q649549138UID:9672僵尸会员
积分:73TCV:0TuBi:18坛龄:10年111天
2020-05-07
#4
低于1.2.48可以auto Type绕过
suzzz1UID:11064僵尸会员
积分:134TCV:0TuBi:6坛龄:9年307天
2020-05-07
#5
手机端使用了fastjson  不代表服务器端使用了fastjson。
可以通过https://github.com/alibaba/fastjson/issues/3077 或者畸形报错探测下服务器端是否使用。
LzSkylineUID:13393新手上路五年陈老会员勋章T00ls土豪勋章
积分:29TCV:1TuBi:134坛龄:6年164天活跃4级
2020-06-03
#6
手机端利用比较难吧, 找到用了fastjson的方法类, 并且该方法需要对外暴露为接口, 然后在构造安卓的命令执行, 最后把代码挂到网页上, 用户访问时要选同意打开外部app...
payloadUID:4768注册会员活跃会员勋章五年陈老会员勋章十年陈老会员勋章十五年陈老会员勋章T00ls土豪勋章
积分:259TCV:0TuBi:262坛龄:16年250天活跃4级
2020-08-09
#7
服务器端不一定使用了fastjson
wojiaochongyaUID:13428注册会员五年陈老会员勋章T00ls土豪勋章
积分:284TCV:11TuBi:1243坛龄:6年282天活跃5级
2020-08-12
#8
可以试试，成功利用后回来分享下
ma4terUID:14093潜水会员五年陈老会员勋章
积分:56TCV:9TuBi:560坛龄:5年294天
2021-03-01
#9
mark 成功了楼主分享一下
zhaozeUID:13889注册会员活跃会员勋章五年陈老会员勋章
积分:358TCV:0TuBi:504坛龄:6年零51天活跃5级
2021-03-01
#10
可以测试一下，成功的话记得分享一下案例 可以先试试dnslog用常用payload
12
ddddd 潜水会员楼主
五年陈老会员勋章十年陈老会员勋章
14主题 368帖子 160TuBi
TA的主页 私信TA 返回版块 社区首页

本版最新

T00.ls | GMT+8, 2026-11-13 02:10

Powered by T00ls.com