Ho1aAs‘s Blog

文章目录前言代码复现工具类PoC代码审计 | 原理分析1. LazyMap.get()调用this.factory.transform()2. AbstractMap.equals()调用m.get()3. AbstractMapDecorator.equals()调用this.map.equals4. HashTable反序列化触发e.key.equals(key)为什么最后要lazyMap2.remove("yy")？为什么多了一个键yy？为什么yy和zZ的hash相同？POP链完前言CC7是另一种

文章目录前言代码复现工具类PoC代码审计 | 原理分析TiedMapEntry.hashCode()调用toString()方法POP链完前言CC6触发TiedMapEntry.hashcode()，非常简单因此只做记录代码复现工具类反序列化：UnserializePacked.Unserialize.javapackage UnserializePacked;import java.io.*;public class Unserialize { public static v

文章目录前言代码复现工具类PoC代码审计 | 原理分析1. LazyMap.get()调用this.factory.transform()2. TiedMapEntry.toString()调用this.map.get()3. BadAttributeValueExpException反序列化触发this.val.toString()POP链完前言由于jdk8修复了AnnotationInvokerHandler，cc1用不了了cc5在cc1点基础上做了小的改进，还是使用Commons-Collect

文章目录前言代码复现工具类PoC代码审计 | 原理分析1. TrAXFilter构造器传入TemplatesImpl会调用newTransformer()2. InstantiateTransformer.transform()调用指定的类构造器3. TransformingComparator.compare()调用this.transformer.transform()4. PriorityQueue反序列化调用comparator.compare()POP链完前言同样的，CC4是CC2的变种，改变

文章目录前言代码复现工具类PoC代码审计 | 原理分析1. TrAXFilter构造器传入TemplatesImpl会调用newTransformer()2. InstantiateTransformer.transform()调用指定对象的指定类构造器3. LazyMap.get()调用this.factory.transform()构造ChainedTransformer生成lazyMap4. Proxy动态代理+AnnotationInvokerHandler调用LazyMap.get()5. Ann

文章目录前言代码复现工具类PoC代码审计 | 原理分析1. InvokerTransformer.transform()反射调用TemplatesImpl.newTransformer()2. TransformingComparator.compare()调用this.transformer.transform()3. PriorityQueue反序列化调用comparator.compare()为什么PriorityQueue还要再添加一个元素？为什么向PriorityQueue添加1、InvokerT

文章目录前言解决完前言验证环境依赖为jdk1.7 + commons-collections3.1建议用maven解决完欢迎在评论区留言，欢迎关注我的优快云 @Ho1aAs