⑴ fastjson为什么经常爆出安全漏洞
fastjson是阿里巴巴开源的一款快速、轻量级的JSON解析库。然而，fastjson在使用过程中经常爆出安全漏洞，本文将剖析fastjson反序列化漏洞的原理及防范措施。
fastjson在解析JSON字符串时，首先会查找字符串中的第一对引号内容，若内容为"@type"，则加载下一对引号中的类。在JavaBeanInfo类中获取类的详细信息，匹配以"set"开头的方法。函数名长度大于4，且为非静态函数，返回类型为void或当前类参数个数为1个的方法。函数名长度大于等于4非静态方法，以"get"开头且第4个字母为大写，无参数，返回值类型继承自Collection或Map或AtomicBoolean，或AtomicInteger或AtomicLong的方法。fastjson通过反序列化利用无参构造创建对象，不通过setter或getter方法进行赋值与输出操作，因此攻击者只需要找到满足条件的类即可实现攻击。
反序列化漏洞的利用方法包括通过"TemplatesImpl"链加载字节码，执行RCE等操作。攻击者通常会利用"TemplatesImpl"的getOutputProperties方法，在此过程中通过newTransformer方法进行攻击。在设置攻击代码时，攻击者常将字节码进行base64加密，以便在序列化过程中进行解密，从而绕过fastjson的安全检查。
防范fastjson反序列化漏洞的措施包括：避免将不可信的输入解析为JSON数据，严格控制允许解析的JSON数据格式；使用安全的反序列化库替代fastjson，例如使用Gson或Jackson等库；对输入数据进行严格的验证和清理，避免接受可能引起安全问题的数据；加强对代码的审查，定期进行安全审计和漏洞扫描，及时修复发现的安全漏洞。
fastjson反序列化漏洞是由于其解析机制的特定设计导致的，攻击者通过特定的输入数据构造攻击代码，利用fastjson的反序列化过程进行攻击。通过上述防范措施，可以有效降低fastjson反序列化漏洞带来的风险，确保系统的安全性和稳定性。