摘要：
RMIRegistryExploit 首先ysoserial里的这个payload在jep290以后就不能用了（ JDK 7u131 JDK 8u121 以后） 这里只是分析一下RMIRegistryExploit这个exploit的利用原理 在rmi中涉及到一个注册中心的概念 其中服务端通过Reg 阅读全文
摘要：
反序列化漏洞是当java原生的反序列化readObject方法参数可控时，java代码中存在可用的gadget链，就会造成java反序列化漏洞。而可用的gadget链指的是，当使用readObject反序列化一个对象时，该对象的类中如果存在私有的readObject方法，该readObject方法会 阅读全文
摘要：
用去年写的笔记混点博客kpi... 一直没有详细学习过XStream漏洞，感觉和原生反序列化反射触发私有readObject以及fastjson触发setter/getter都挺不一样的，觉得很有意思，做一下学习记录。 CVE-2013-7285 这个编号是XStream的第一个cve编号，经典的E 阅读全文