ObjectInputStream反序列化先前使用ObjectOutputStream编写的原始数据和对象。 构造方法：ObjectInputStream(InputStream in)创建从指定的InputStream读取的ObjectInputStream。 readObject()从Objec ...
分类：
其他好文 时间：
2020-04-24 17:27:50
阅读次数：
212
今天在公司分析cve-2020-2551漏洞的时候，发现了一个新的类，叫hashtable。 看了下，实现了Serializable的接口，说明这个类是可以序列化的。符合pop链的条件之一。 接下来看下hashtable的readobject方法： 1 private void readObject ...
分类：
Web程序 时间：
2020-04-21 23:40:21
阅读次数：
141
漏洞参考 https://blog.csdn.net/csacs/article/details/87122472 漏洞概述:在 WebLogic 里，攻击者利用其他rmi绕过weblogic黑名单限制，然后在将加载的内容利用readObject解析，从而造成反序列化远程代码执行该漏洞，该漏洞主要由 ...
分类：
其他好文 时间：
2020-04-11 09:45:10
阅读次数：
73
题目复现链接： "https://buuoj.cn/challenges" 参考链接： "2020 年 V&N 内部考核赛 WriteUp" "从一道题入门JAVA反序列化漏洞" "V&N公开赛2020 writeup" Java反序列化 "深入了解序列化writeObject、readObject ...
分类：
编程语言 时间：
2020-03-05 22:18:22
阅读次数：
155
对Person类实例进行序例化及反序例化： Person.java WriteObject: ReadObject: ...
分类：
编程语言 时间：
2019-08-05 17:21:56
阅读次数：
113
对象操作流 可以用于读写任意类型的对象 ObjectOutputStream :对象输出字符流 WriteObject ObjectInputStream ：对象输入字符流 ReadObject 注意： 使用对象输出流写出对象，只能使用对象输入流来读取对象 只能将支持java.io.Serializ ...
分类：
编程语言 时间：
2019-06-23 20:54:00
阅读次数：
107
ArrayList：顺序存储结构（数组） 1、ArrayList自己实现了序列化和反序列化的方法，因为它自己实现了 private void writeObject(java.io.ObjectOutputStream s)和 private void readObject(java.io.Obje ...
分类：
其他好文 时间：
2019-05-11 16:14:31
阅读次数：
112
定义:将类通过字节流的方式写入文件称为序列化,从类文件中通过字节流的方式读取出来称为反序列化 序列化:类要实现Serializable接口,才能序列化,Serializable接口没有任何抽象方法,是一个标记接口 反序列化: 反序列化时,如果readObject()次数超过了文件中总共的对象数就会报 ...
分类：
其他好文 时间：
2019-04-29 20:38:54
阅读次数：
104
HashSet底层是基于HashMap实现的。HashSet的源码非常少，因为除了clone()方法、writeObject()方法、readObject()方法是HashSet自己实现的，其他方法都是直接调用HashMap中的方法。 HashSet和HashMap对比 1、HashSet实现了Se ...
分类：
其他好文 时间：
2019-01-11 17:13:43
阅读次数：
174
此漏洞是基于CVE 2015 4852漏洞进行黑名单的绕过，CVE 2015 4852补丁主要应用在三个位置上 所以如果能找到可以在其readObject中创建自己的InputStream的对象，并且不是使用黑名单中的ServerChannelInputStream和MsgAbbrevInputSt ...
分类：
Web程序 时间：
2019-01-08 17:51:43
阅读次数：
2981
