反序列化工具ysoserial使用介绍

ysoserial

ysoserial集合了各种java反序列化payload，灵活运用了反射机制和动态代理机制构造POC

我们来看一下反序列化的攻击流程：

1、客户端构造payload（恶意数据），封装后，变成最后的exp

2、exp发送到服务器端，会反序列化恢复我们构造的exp

网上关于java反序列化漏洞的原理分析，基本都是在分析使用Apache Commons Collections这个库，造成的反序列化问题。

这里也将从Apache Commons Collections这个库开始学习。

感觉核心思想就是利用反射机制去解决问题，了解反射机制的话，若存在一个固有的反射机制时，输入可控，就可能形成任意函数调用的情况，具有极大的危害。关于反射可看--->java反射