Fastjson 1.2.25 - 1.2.41 黑名单绕过学习
在 fastjson 1.2.25 中，定义了以下黑名单阻止大部分利用链
但是在之后执行的 TypeUtils 的 loadClass 里将 [、L 开头的 className 进行了处理，其中 L 开头的 className 直接取第二位到倒数第二位字符，成功绕过了黑名单检测同时能在处理后作为正常的 className 被加载
在 fastjson 1.2.25 中，定义了以下黑名单阻止大部分利用链
但是在之后执行的 TypeUtils 的 loadClass 里将 [、L 开头的 className 进行了处理，其中 L 开头的 className 直接取第二位到倒数第二位字符，成功绕过了黑名单检测同时能在处理后作为正常的 className 被加载