readObject反序列化漏洞

readObject 反序列化漏洞

1、审计-全局搜索readObject()函数

image-20241204200758143 image-20241204200828431

可以看到代码中使用base64解码后转码，反序列化

2、查看外部库版本

image-20241204201237142

根据 ysoserial-0.0.8-SNAPSHOT-all 项目工具的表来看，可以尝试 CommonsCollections5进行测试

3、使用yakit进行测试，生成base64的payload

image-20241204201259173

image-20241204201312572

image-20241204201320839

成功弹出计算器

posted @ 2025-12-02 09:23  shinianyunyan  阅读(5)  评论(0)    收藏  举报