序列化
文章平均质量分 91
shengjk1
零基础转码,头部大厂程序员,努力构建 通俗易懂的、好玩的编程语言教程。关注我,习得转码经验!翱翔在编程的海洋里!只学习最值得学的内容!
展开
专栏收录文章
- 默认排序
- 最新发布
- 最早发布
- 最多阅读
- 最少阅读
-
Java序列化漏洞-反射
Java反射机制放大序列化漏洞风险,攻击者通过构建可序列化的调用链(Gadget Chain),利用反射实现远程代码执行(RCE)。文章通过代码示例演示如何利用动态代理和BadAttributeValueExpException漏洞触发计算器程序,详细解析了漏洞触发过程:从readObject方法调用到动态代理转发至恶意InvocationHandler,最终执行任意命令。同时指出Proxy.newProxyInstance只能拦截接口中的普通实例方法,静态方法/default方法/final方法无法被代理原创 2025-11-20 15:17:15 · 545 阅读 · 0 评论 -
Java序列化漏洞:RCE 远程执行代码-Serializable
这篇文章主要对比了Java中Serializable和Externalizable两种序列化机制的差异,并介绍了JDK原生序列化的安全漏洞。主要内容包括: 两种序列化接口的核心区别:Serializable是自动序列化的标记接口,而Externalizable需要手动实现读写方法,提供更细粒度的控制 详细对比了两种方式在序列化控制、性能、体积、灵活性等方面的差异 通过代码示例展示了两种接口的具体用法 特别强调了Serializable在反序列化时存在的安全风险,示例中展示了如何利用readObject方法执原创 2025-11-20 13:55:32 · 337 阅读 · 0 评论
分享