Fastjson是一個Java語言編寫的JSON解析庫，廣泛應用于Java項目中。Fastjson的主要漏洞原理是由于缺乏對用戶輸入數據的有效過濾和校驗，導致惡意用戶可以通過構造特定的JSON字符串來觸發代碼執行漏洞。
Fastjson漏洞的特征主要有以下幾點：
反序列化漏洞：Fastjson在解析JSON字符串時，會將JSON字符串反序列化為Java對象。惡意用戶可以構造特定的JSON字符串，其中包含惡意代碼，在反序列化過程中觸發惡意代碼執行。
RCE漏洞：Fastjson的反序列化漏洞可以導致遠程代碼執行（Remote Code Execution，RCE）。攻擊者可以通過構造惡意的JSON字符串，在服務端觸發遠程命令執行，從而控制受影響的系統。
默認行為問題：Fastjson在默認情況下會嘗試將JSON字符串中的類名轉換為實際的Java類，并進行對應的反序列化操作，這可能導致惡意類的加載和執行。
沙盒繞過：Fastjson提供了一些配置選項來限制反序列化和代碼執行的范圍，如autotype、asm等選項。然而，惡意用戶可以通過繞過這些限制，執行惡意代碼。
總之，Fastjson的漏洞原理主要是由于反序列化過程中對用戶輸入數據的不完善過濾和校驗，導致惡意用戶可以構造特定的JSON字符串來觸發代碼執行漏洞。
