ysoserial
ysoserial集合了各种java反序列化payload,灵活运用了反射机制和动态代理机制构造POC
我们来看一下反序列化的攻击流程:
1、客户端构造payload(恶意数据),封装后,变成最后的exp
2、exp发送到服务器端,会反序列化恢复我们构造的exp
网上关于java反序列化漏洞的原理分析,基本都是在分析使用Apache Commons Collections
这个库,造成的反序列化问题。
这里也将从Apache Commons Collections
这个库开始学习。
感觉核心思想就是利用反射机制去解决问题,了解反射机制的话,若存在一个固有的反射机制时,输入可控,就可能形成任意函数调用的情况,具有极大的危害。关于反射可看--->java反射