ysoserial Java反序列化漏洞利用实践

ysoserial这款工具，堪称为“java反序列利用神器”。

一、ysoserial下载与安装

下载

从github上直接下载
git clone https://github.com/frohoff/ysoserial.git

编译

根据github上的编译提示，会出现编译错误

Requires Java 1.7+ and Maven 3.x+
mvn clean package -DskipTests

错误信息如下，主要是因为在pom.xml缺少commons-io的依赖：

在pom.xml的dependencies标签里添加依赖项：

        <dependency>
            <groupId>commons-io</groupId>
            <artifactId>commons-io</artifactId>
            <version>2.4</version>
        </dependency>

再次执行mvn clean package -DskipTests，编译成功在target目录下生成相对应的jar包。