2201_75353421的博客

反序列化是java安全er避不开的技能点，也是非常难的一个点。这里我就先从我实战中遇到最多也是自己最熟悉的fastjson开始，这个漏洞老生长谈了，不过只要遇到就真是一个很好的点了。这里我先从效果开始再转战到原理，因为如果不懂代码，上来就分析代码就会让人望而却步。直接从漏洞利用开始，溯源到原理反倒是我这种非安全研究er的最好学习方式。

本文给出一份fastjson在调试命令执行时的底层过程展现。

对java的三种代理模式的总结

fastjson我曾经写过漏洞的原理，但是公网遇到的漏洞越来越少，大多都是在内网的环境，内网里没办法使用dnslog去探测回显。这里学习一下用bcel链直接在bp中产生回显进而getshell。

反射是 Java 的特征之⼀，C/C++语⾔中不存在反射。通过反射，我们可以在运⾏时获得程序或程序集中每⼀个类型的成员和成员的信息。通过 Java 反射机制 , 可以动态的创建对象并调⽤其⽅法和属性，这也就使得反射的⽤途很⼴泛，在开发过程中使⽤Eclipse、IDEA等开发⼯具时，当我们输⼊⼀个对象或类并想调⽤它的属性或⽅法时，编译器会⾃动列出它的属性或⽅法，这是通过反射实现的；再如，JavaBean和jsp之间的调⽤也是通过反射实现的。