qq_43578872的博客

原创 通过Apaache Common-collections分析Java反序列化

通过Apaache Common-collections分析Java反序列化前言本文将通过 Apache Commons-collections爆出的反序列化漏洞来作为例子进行原理分析。漏洞成因在这个Java反序列化漏洞的利用链主要由三个部分组成1、可以执行恶意代码的对象（在这个例子中即为Commons-collection中的Transformer类）2、一个被恶意对象“寄生的宿主”，通俗的来说就是，宿主对象反序列化的时候因为需要执行readObject方法，而readObject方法在可以被