Java-Fastjson 反序列化

最新推荐文章于 2025-05-14 22:27:35 发布
最新推荐文章于 2025-05-14 22:27:35 发布
阅读量5.2k 收藏
点赞数 1
分类专栏： 漏洞复现 文章标签： java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/l1593572468/article/details/123176110
版权
本文详细介绍了利用Fastjson反序列化漏洞的过程，包括漏洞验证、环境搭建、漏洞利用步骤，以及如何通过构造恶意POST请求来触发漏洞。在环境中，使用RMI服务并结合marshalsec库，创建了能执行命令的Java类。最终，通过在登录请求中注入恶意数据，成功获取了公网服务器的shell会话。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

简介

以bugku的一道题为例：

ctf.bugku Java Fastjson

漏洞验证

使用python脚本测试一下漏洞存在。

环境搭建

这里我使用RMI服务进行漏洞利用，所以先搭建Java rmi服务，因为不是在本地测试，这里是在公网服务器上搭建的。

了解本专栏 订阅专栏 解锁全文
希尔特280u升级3000u编程器固件
12-22
希尔特280U编程器是一款广泛应用于电子工程师和维修技术人员手中的设备，主要用于微控制器（MCU）和其他芯片的编程和测试。这次提到的“希尔特280u升级3000u编程器固件”是针对这款编程器的一个重要更新，旨在提升其...
西尔特编程器 xeltek superpro 280U 580U 3000U 如何在 win7 64位下使用
03-24
西尔特编程器，280u，580u，3000u，已经停产，win7 64位下无法使用。官方不会给驱动，不然新的怎么卖？ 下载把 win7 64位下使用方法，分享给大家，原创的，分数 10 分，呵呵。 因为驱动没有签名，需要在签名测试...
发现编程的全新境界——明基RD280U显示器使用体验
阿杆的博客
09-20 1940
经过一段时间的使用，我对明基RD280U这款显示器的整体表现非常满意。无论是更广的视野、更舒适的视觉体验，还是在编程中的高效工作流，明基RD280U都完全满足了我作为程序员的需求。如果你正在寻找一款能够真正提升编程效率的显示器，我强烈推荐这款显示器，它绝对是每个程序员梦寐以求的“神屏”。
程序员开发神器,BenQ RD280U它来了
程序那些事
09-27 1460
带大家一起体验一下这款全球首发的，转为程序员而生的编程神器BenQ RD280U。
提高程序员编程效率? 你可能缺一台BenQ RD280U
趣谈前端
11-15 957
在经过一段时间的深入体验后，我迫不及待地想要和大家分享关于明基 RD280U 显示器的使用感受。真的可以说，这款显示器给我的惊喜远超预期，它完美地解决了程序员在日常编码工作中的诸多显示器屏幕的问题，大大提升了我的工作效率和舒适度。如果你也是一名与代码朝夕相伴的开发者，正在苦苦寻觅一款既能提高工作效率又能有效缓解眼睛疲劳的显示器，那么我强烈建议你选择明基 RD280U。它不仅仅是一台普通的显示器，更是专为软件编码工作者量身定制的高效生产力工具。
工欲善其事，必先利其器——推荐一款适合程序员专业编程显示屏
热门推荐
努力是为了站在万人之中，成为别人的光
09-04 2万+
作为一名程序员，每天对着屏幕的时间非常长，自从使用了明基RD280U这款显示器后，确实有种“久违的舒适感”。3:2屏幕比例让我能在单屏上看到更多代码，加上4K分辨率和抗反射面板，不管是白天还是晚上，看着都很舒服，尤其在深色主题下，眼睛也不容易累。还有KVM功能、自定义快捷键功能，以及配套的Display Pilot 2软件。这些小细节真是让我编程时顺手多了，真的是为程序员量身定制。总的来说，这款显示器不仅仅是一台硬件设备，更像是一个默默支持陪伴我的好朋友，让我的工作更加轻松、更高效。
嵌入式工程师别瞎买显示器！这台才是真神器
程序猿追的博客
05-04 575
不用费劲调屏幕角度，也不用拉窗帘，眼睛不再酸胀，能踏踏实实敲代码，效率直接起飞。顺便一提，在我收到货之后，遇到了非常尴尬的一件事，就是我没有螺丝刀（之前被小孩搞丢了），我在一筹莫展的时候，我看到了明基下面支架的螺丝口有个小把手，只需要拧动小把手就可以拧紧螺丝，这个我觉得是非常不错的设计，正所谓细节决定成败，这个设计真不错，给设计师加个鸡腿。调试时找个参数都费劲，效率特别低。普通显示器写代码，语法高亮就是“鸡肋”，函数、变量和注释挤成一片，调试物联网协议代码时，数据结构全靠手动分辨，半天都找不到关键问题。
3:2比例的程序员专业显示器，效率提升显著，摸鱼时间又多了
学Java，找哪吒
08-20 1万+
这款显示器简直就是程序员的最佳搭档！它有啥特别的？屏幕又高又大，28寸3:2屏幕比例，写代码时不用老是上下滚动，一眼就能看到更多内容，能显著提高我的编码效率。可以在不同区域同时打开好几个窗口，比如一边写代码，一边看文档，再腾出地方放设计图，工作效率蹭蹭往上涨！它还配备有专门的编程色彩模式，让代码看起来特别清楚，就像戴上了一副高清眼镜，字体和颜色都调整得恰到好处，看代码不费劲，眼睛也不容易累。现在的我，居然爱上了敲代码。还配备有"猫头鹰模式"，简直就是夜猫子程序员的福音！
AI写代码时代，我却被这块28寸方屏显示器圈了粉！
m0_54854484的博客
05-14 1080
在AI技术飞速发展的2025年，编程方式正经历着前所未有的变革。作为一个在代码堆里摸爬滚打了五年的程序员，我从未想过有一天写代码会变成 “聊天”。如今写代码早已不是从零敲一行行的苦力活了，有了AI的帮助，随便聊几句需求，就能帮我们生成代码框架、补全逻辑，甚至检测出隐藏的bug，效率简直起飞！但上周帮朋友调试祖传代码时，看着 16:9 屏幕里挤成一团的代码行，我突然意识到再强的AI也离不开一块好屏幕。虽然现在 AI 工具越来越智能，但屏幕质量直接影响着我们的工作心情和效率。
西尔特编程器SUPERPRO/280U自动烧录步骤详解
"本文档详细介绍了西尔特编程器的使用步骤，包括软件安装、设备连接、自动烧录选项设置、器件选择、文件加载以及烧录过程，旨在帮助用户顺利进行BIOS芯片的编程操作。" 西尔特编程器是一种专业用于电子设备编程的...
自动驾驶规划与控制算法详解：从Apollo 6.0 EMplanner到PID、模糊控制、LQR、MPC
05-27
内容概要：本文深入探讨了自动驾驶领域的规划与控制算法，重点介绍了Apollo 6.0的EMplanner规划模块和常用的控制算法如PID、模糊控制、LQR、MPC。规划部分涵盖了路径规划、决策制定、安全性、效率和实时性的实现；控制部分详细解析了各控制算法的原理及其在自动驾驶中的应用。此外，作者还分享了丰富的实践经验，强调了实践、安全、灵活运用算法和持续学习的重要性。 适合人群：对自动驾驶技术感兴趣的工程师、研究人员及即将进入该领域的毕业生。 使用场景及目标：①理解和掌握自动驾驶规划与控制的基本原理和技术；②对比不同控制算法的特点和应用场景；③获取宝贵的行业经验和职业发展指导。 其他说明：本文不仅提供了理论知识，还结合了大量实际工作经验，有助于读者更好地应对技术和职业挑战。
### 【大数据技术】Hadoop、Flink、Hive、Spark、Kafka、Zookeeper、HBase安装与配置指南：构建分布式集群系统
05-27
内容概要：本文档详细介绍了在三台CentOS 7服务器（IP地址分别为192.168.0.157、192.168.0.158和192.168.0.159）上安装和配置Hadoop、Flink及其他大数据组件（如Hive、MySQL、Sqoop、Kafka、Zookeeper、HBase、Spark、Scala）的具体步骤。首先，文档说明了环境准备，包括配置主机名映射、SSH免密登录、JDK安装等。接着，详细描述了Hadoop集群的安装配置，包括SSH免密登录、JDK配置、Hadoop环境变量设置、HDFS和YARN配置文件修改、集群启动与测试。随后，依次介绍了MySQL、Hive、Sqoop、Kafka、Zookeeper、HBase、Spark、Scala和Flink的安装配置过程，包括解压、环境变量配置、配置文件修改、服务启动等关键步骤。最后，文档提供了每个组件的基本测试方法，确保安装成功。 适合人群：具备一定Linux基础和大数据组件基础知识的运维人员、大数据开发工程师以及系统管理员。 使用场景及目标：①为大数据平台搭建提供详细的安装指南，确保各组件能够顺利安装和配置；②帮助技术人员快速掌握Hadoop、Flink等大数据组件的安装与配置，提升工作效率；③适用于企业级大数据平台的搭建与维护，确保集群稳定运行。 其他说明：本文档不仅提供了详细的安装步骤，还涵盖了常见的配置项解释和故障排查建议。建议读者在安装过程中仔细阅读每一步骤，并根据实际情况调整配置参数。此外，文档中的命令和配置文件路径均为示例，实际操作时需根据具体环境进行适当修改。
欧姆龙CJCP程序在锂电池贴胶检测线中的PLC通信与多机协同控制方案
05-27
内容概要：本文详细介绍了欧姆龙CJ/CP系列程序在全自动CE锂电池贴胶检测机中的应用。该系统基于欧姆龙CP1H-XA主机和CIF串口模块，实现了高效的PLC通信与多机协同操作。主要功能包括轴控制、一键换型、故障记录、产量统计及OEE计算等。此外，还提供了优质的触摸屏程序模板和多种可重复调用的功能块，如气缸报警、真空报警和轴实时位置脉冲转毫米功能块。整条生产线由四台不同功能的机器组成，配备四套PLC和触摸屏程序，采用八套主从站控制，确保系统的高可靠性和强大适应性。 适合人群：从事工业自动化领域的工程师和技术人员，特别是对PLC编程和控制系统有需求的专业人士。 使用场景及目标：适用于需要构建高效稳定的锂电池贴胶检测生产线的企业。目标是提高生产效率、减少停机时间、优化资源配置并提升产品质量。 其他说明：文中不仅提供了详细的硬件配置介绍，还包括具体的梯形图和ST代码示例，帮助读者更好地理解和实施相关技术。
音乐APP界面设计素材Music App ui设计psd源文件.rar
05-27
音乐APP界面设计素材Music App ui设计psd源文件.rar
第2章施工项目管理概述.ppt
05-27
第2章施工项目管理概述.ppt
天线相关课程作业重新拟题
05-27
在无线通信领域，天线阵列设计对于信号传播方向和覆盖范围的优化至关重要。本题要求设计一个广播电台的天线布局，形成特定的水平面波瓣图，即在东北方向实现最大辐射强度，在正东到正北的90°范围内辐射衰减最小且无零点；而在其余270°范围内允许出现零点，且正西和西南方向必须为零。为此，设计了一个由4个铅垂铁塔组成的阵列，各铁塔上的电流幅度相等，相位关系可自由调整，几何布置和间距不受限制。设计过程如下： 第一步：构建初级波瓣图 选取南北方向上的两个点源，间距为0.2λ（λ为电磁波波长），形成一个端射阵。通过调整相位差，使正南方向的辐射为零，计算得到初始相位差δ=252°。为了满足西南方向零辐射的要求，整体相位再偏移45°，得到初级波瓣图的表达式为E1=cos(36°cos(φ+45°)+126°)。 第二步：构建次级波瓣图 再选取一个点源位于正北方向，另一个点源位于西南方向，间距为0.4λ。调整相位差使西南方向的辐射为零，计算得到相位差δ=280°。同样整体偏移45°，得到次级波瓣图的表达式为E2=cos(72°cos(φ+45°)+140°)。 最终组合： 将初级波瓣图E1和次级波瓣图E2相乘，得到总阵的波瓣图E=E1×E2=cos(36°cos(φ+45°)+126°)×cos(72°cos(φ+45°)+140°)。通过编程实现计算并绘制波瓣图，可以看到三个阶段的波瓣图分别对应初级波瓣、次级波瓣和总波瓣，最终得到满足广播电台需求的总波瓣图。实验代码使用MATLAB编写，利用polar函数在极坐标下绘制波瓣图，并通过subplot分块显示不同阶段的波瓣图。这种设计方法体现了天线阵列设计的基本原理，即通过调整天线间的相对位置和相位关系，控制电磁波的辐射方向和强度，以满足特定的覆盖需求。这种设计在雷达、卫星通信和移动通信基站等无线通信系统中得到了广泛应用。
计算机组成与系统结构答案
最新发布
05-28
5.若有两个基准测试程序P1和P2在机器M1和M2上运行，假定M1和M2的价格分别是5000元和8000 元，下表给出了P1和P2在M1和M2上所花的时间和指令条数。 6.若机器M1和M2具有相同的指令集，其时钟频率分别为1GHz和1.5GHz。在指令集中有五种不同类型的指令A~E。下表给出了在M1和M2上每类指令的平均时钟周期数CPI
基于三维比例导引法的Matlab仿真程序设计
05-27
基于三维比例导引法的Matlab仿真程序设计
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Cheng-Ling

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值