gadgetinspector学习

参考threedr3am大佬的讲解：

• 改造gadgetinspector篇-自动化挖掘Fastjson gadget chain

git clone https://github.com/threedr3am/gadgetinspector
cd gadgetinspector
./gradlew shadowJar
# 执行
java -jar build/libs/gadget-inspector-all.jar --config fastjson /c/Users/Administrator/.m2/repository/com/zaxxer/HikariCP/3.4.1/HikariCP-3.4.1.jar

然后就可以看结果了：

有几百K，而且有一些不是JNDI的，如果想只找JNDI注入的，可以这样--slink JNDI：

java -jar build/libs/gadget-inspector-all.jar --config fastjson --slink JNDI /c/Users/Administrator/.m2/repository/com/zaxxer/HikariCP/3.4.1/HikariCP-3.4.1.jar

这样找到的结果依然有很多这样的起点：

原来作者在文中这样写了：

--skipSourcesFile /xxx/xxxx/xxx.txt: 跳过哪些经常误报的class source，参考文件fastjson-skip-sources.demo

所以加上这个参数再试试：
确实少了一些，但是依然有一些平常没见过…
#TODO