Java反序列化终极测试工具.zip下载

weixin_39821051 2020-07-13 05:31:34

Java反序列化终极测试工具(里面有两款)
相关下载链接：//download.csdn.net/download/qq_37056861/12320187?utm_source=bbsseo

...全文

418 回复打赏收藏转发到动态举报

写回复

回复

切换为时间正序

请发表友善的回复…

发表回复

本文主要分析CC1利用链，先介绍了复现环境的搭建（该小节尽量帮大家避避坑，呜呜呜）；然后紧跟着讲解了java反序列化和php反序列化漏洞的区别（希望大家不要有惯性思维认为反序列化漏洞都一样，其实java反序列化和php反序列化的差别还是很大的并介绍了复现学习java反序列化漏洞所需的一些前置知识；最后，也是文章的主体部分，从Sink（即可以触发执行命令的方法等）、chain及source（即利用链的入口点）三个步骤，讲述利用链的构建。纸上得来终觉浅，绝知此事要躬行。

本文详细介绍了如何通过Java反序列化漏洞利用Commons Collections库中的Transformer链（CC1链）实现任意命令执行。首先，配置Maven项目并添加commons-collections依赖，准备JDK源码以便调试。接着，分析了InvokerTransformer、ChainedTransformer和ConstantTransformer三个关键类的作用及其在漏洞利用中的角色。通过反射调用Runtime.getRuntime()，绕过类型检查，并构造Transformer链

Java反序列化漏洞CC1链分析摘要：CC1是Apache Commons Collections 3.2.1及以下版本中的经典反序列化漏洞利用链，结合JDK 8u71及以下版本的AnnotationInvocationHandler实现任意代码执行。本文详细分析了CC1链的触发条件、环境配置及利用过程，通过InvokerTransformer.transform反射调用实现命令执行，并追踪调用链至TransformedMap.checkSetValue。文章提供了完整的测试代码和调试方法，揭示了该漏洞的核

因为一些源码是class文件，工具会帮我们自动反编译的，但是我们都知道，这个东西反编译出来的，肯定不方便阅读，所以为了方便我们后续的调试，我们这里将openjdk的源码下过来，把我们需要导入到jdk中。这里我们看到，接受构造函数中的我们给他的类，然后他的transformers方法，不管他的参数的类型，只返回我们构造的时候给他的类型，好神奇正好需要。这里我们看到，他是触发valueTransformer的transform方法的，而且这是一个受保护的方法，需要在本类触发，这里往上看看。

ysoserial简介 ysoserial是一款在Github开源的知名java 反序列化利用工具，里面集合了各种java反序列化payload；由于其中部分payload使用到的低版本JDK中的类，所以建议自己私下分析学习时使用低版本JDK JDK版本建议在1.7u21以下。此篇文章为java反序列化系列文章的第一篇，后续会以ysoserial这款工具为中心，挨个的去分析其中的反序列化payload和gadget，讲完该工具后会继续对工具中没有的java 反序列化漏洞进行讲解，例如 FastJs

下载资源悬赏专区

13,653

社区成员

12,569,849

社区内容

发帖

与我相关

我的任务

其他技术论坛（原bbs）

社区管理员

加入社区

近7日
近30日
至今

加载中

查看更多榜单

社区公告

暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章