参考链接的第一篇文章主要写的是poc怎么构造的，思路很清晰了，这篇文章从逆向分析，看下怎么反序列的。调用链如下： BadAttributeValueException.readObject TiedMapEntry.toString LazyMap.get ChainedTransformer.tr ...
分类：
编程语言 时间：
2018-12-30 14:40:37
阅读次数：
225
List的常用实现：vector，ArrayList，linkedList。 总体关系如下（java8）： vector和arraylist 两者底层都是采用数组的形式。但是有些许不同 在序列化的时候，arraylist将会调用writeObject和readObject方法来序列化。所以比vect ...
分类：
编程语言 时间：
2018-09-27 20:44:08
阅读次数：
186
java反序列化原理-Demo一0x00什么是java序列化和反序列？Java序列化是指把Java对象转换为字节序列的过程便于保存在内存、文件、数据库中，ObjectOutputStream类的writeObject()方法可以实现序列化。Java反序列化是指把字节序列恢复为Java对象的过程，ObjectInputStream类的readObject()方法用于反序列化。0x01java反序列漏
分类：
编程语言 时间：
2018-08-13 18:07:21
阅读次数：
241
内容：通过文件存储对象我们遇到的问题，需要保存对象到硬盘中，如何解决这个就是用来解决的用法：1、创建流对象FileOutputstream2、创建ObjectOutputStream对象与FileOutputStream关联3、使用writeObject方法写入对象，或者通过readObject读取 ...
分类：
其他好文 时间：
2018-06-02 16:37:00
阅读次数：
126
序列化 序列化是把对象转换为字节流，以便于保存在内存、文件、数据库中。反序列化则是相反的过程，将字节流还原为对象，Java中的ObjectOutputStream类的writeObject()方法用于序列化，类ObjectInputStream类的readObject()方法用于反序列化，如果Jav ...
分类：
编程语言 时间：
2018-05-30 01:18:48
阅读次数：
770
Java对象流 对象流 ObjectInputStream ObjectOutputStream类分别是InputStream和OutputStream的子类，对象输出流使用writeObject(Object obj)方法，将一个对象obj写入到一个文件，使用readObject（）读取一个对象。 ...
分类：
编程语言 时间：
2018-03-06 20:18:33
阅读次数：
184
一、原理： 很明显啦，readobject又出来背锅了，一个XML的反序列化漏洞导致的命令执行。 具体原理我看不懂java代码的我也只能学习别人的分析。给出一篇参考文章，写的非常详细： 漏洞原理 二、如何构造命令执行的payload-xml： 三、巡风的poc分析： 讲一下验证流程： 1、首先发包请 ...
分类：
Web程序 时间：
2017-12-27 19:40:53
阅读次数：
1574
实现串行化的类可以实现自己的writeObject或readObject方法，必需为private，这样的话，当使用ObjectoutputStream的writeObject的方法就会调用自己类实现的writeObject方法了ObjectoutputStream.writeObject()->writeObject0()->writeOrdinaryObject()->wri
分类：
编程语言 时间：
2017-12-06 16:14:03
阅读次数：
145
链接：https://www.nowcoder.com/questionTerminal/50b18353a6ad48059619d000ef6dfae5来源：牛客网1.new语句创建对象 2.调用Java.io.ObjectInputStream的readObject方法 3.java反射机制使用 ...
分类：
其他好文 时间：
2017-11-27 14:17:04
阅读次数：
181
