西烽火串口通信測(cè)試工具 v1.8 官方安裝版
62MB / 01-19
雨田單元測(cè)試系統(tǒng) v2.2.3 官方免費(fèi)安裝版
9.23MB / 06-17
鼠標(biāo)單擊變雙擊測(cè)試器 V2.0 免費(fèi)綠色版
37KB / 01-05
UserBenchmark(電腦系統(tǒng)測(cè)試跑分軟件) v3.3.6.0 官方安裝版
10.5MB / 12-05
PcommAPI(串口測(cè)試) v1.5 免費(fèi)綠色版
223KB / 02-01
-
-
IntelliJ IDEA插件 Kotlin Notebook v2024.3.5 官方最新免費(fèi)版 編程其它 / 16.4MB
-
Wolfram Mathematica 14.2.1 中文正式免費(fèi)版(附安裝教程) 編程其它 / 7.25GB
-
JetBrains IDE Writerside(文檔撰寫(xiě)軟件) 2025 v2024.3.5 官方最 編程其它 / 432MB
-
-
Go語(yǔ)言編輯工具JetBrains GoLand v2024.3.5 中文免費(fèi)正式版(附方 編程其它 / 801MB
-
-
-
.NET 社區(qū)工具包 .NET Community Toolkit 8.4.0 官方最新開(kāi)源版 編程其它 / 1.2MB
-
SGHNetMultiLang(一鍵多國(guó)語(yǔ)言生成) V1.0.4 安裝免費(fèi)版 編程其它 / 403MB
詳情介紹
Java反序列化漏洞產(chǎn)生的原因
在java編寫(xiě)的web應(yīng)用與web服務(wù)器間java通常會(huì)發(fā)送大量的序列化對(duì)象例如以下場(chǎng)景:
HTTP請(qǐng)求中的參數(shù),cookies以及Parameters。
RMI協(xié)議,被廣泛使用的RMI協(xié)議完全基于序列化
JMX 同樣用于處理序列化對(duì)象
自定義協(xié)議 用來(lái)接收與發(fā)送原始的java對(duì)象
在序列化過(guò)程中會(huì)使用ObjectOutputStream類的writeObject()方法,在接收數(shù)據(jù)后一般又會(huì)采用ObjectInputStream類的readObject()方法進(jìn)行反序列化讀取數(shù)據(jù)。
上述代碼中的java類ObjectInputStream在執(zhí)行反序列化時(shí)并不會(huì)對(duì)自身的輸入進(jìn)行檢查,意味著一種可能性,即惡意攻擊者構(gòu)建特定的輸入,在ObjectInputStream類反序列化之后會(huì)產(chǎn)生非正常結(jié)果。而根據(jù)最新的研究,利用這一方法可以實(shí)現(xiàn)遠(yuǎn)程執(zhí)行任意代碼。
為了進(jìn)一步說(shuō)明,可以針對(duì)對(duì)上述代碼進(jìn)行了一點(diǎn)修改:
java反序列化漏洞利用工具
結(jié)果:
java反序列化漏洞利用工具
主要修改為自定義了一個(gè)被序列化的對(duì)象myobject,通過(guò)定義myobject實(shí)現(xiàn)了java序列化的接口并且定義了一種名為“readObject”的方法。通過(guò)對(duì)比上面例子的輸出,可以發(fā)現(xiàn)反序列化的相關(guān)數(shù)值被修改了,即執(zhí)行的用戶自身的代碼。造成結(jié)果不同的關(guān)鍵在于readObject方法,java在讀取序列化對(duì)象的時(shí)候會(huì)先查找用戶自定義的readObject是否存在,如果存在則執(zhí)行用戶自定義的方法。
下載地址
人氣軟件
Wolfram Mathematica 14.2.1 中文正式免費(fèi)版(附安裝教程)
51dedecms模板轉(zhuǎn)碼專用工具 v5.6中文綠色版(GBK、UTF8碼互轉(zhuǎn))
srvinstw 將exe注冊(cè)為系統(tǒng)服務(wù)的軟件
Web程序調(diào)用本地exe文件之方法(并傳參到CS程序)
Python 3.7 for win32 (Python編程開(kāi)發(fā)工具)官方安裝版
Mathworks Matlab R2024b v24.2.0.2712019 中文正式免費(fèi)版(附安
Composer.exe windows安裝包
Mathematica 11.0.1 for linux 英文特別版(附注冊(cè)機(jī)+激活方法)
MathWorks MATLAB R2023b v23.2.0.2485118 Update 6 x64 中文正
Mathworks Matlab R2022b v9.13.0 U2 中文完美授權(quán)版(附激活補(bǔ)丁
相關(guān)文章
-
阿里云WEF API調(diào)用工具 GUI版本 v1.0 綠色免費(fèi)版
阿里云WEF API調(diào)用工具是一款Web應(yīng)用防火墻,通過(guò)調(diào)用阿里云密鑰AccessKey ID、AccessKey Secret,然后可以直接控制阿里云WAF,操作便捷,歡迎需要的朋友下載使用...
-
Mathworks Matlab R2024b v24.2.0.2712019 中文正式免費(fèi)版(附安裝教程)
MATLAB R2024b由全球領(lǐng)先的數(shù)學(xué)計(jì)算軟件開(kāi)發(fā)商 MathWorks正式發(fā)布了,新版R2024b 推出了幾項(xiàng)重要更新,幫助從事無(wú)線通信系統(tǒng)、控制系統(tǒng)和數(shù)字信號(hào)處理應(yīng)用的工程師和研究人...
-
MATLAB Runtime R2024a(24.1) Update 4 中文安裝免費(fèi)版(附教程)
MATLAB Runtime R2024a是一組獨(dú)立的共享庫(kù),支持執(zhí)行已編譯的 MATLAB、Simulink 應(yīng)用程序或組件,允許電腦在沒(méi)有安裝MATLAB軟件的情況下運(yùn)行編譯的 MATLAB 應(yīng)用程序或組件...
-
MathWorks MATLAB R2024a v24.1.0.253703 x64 LINUX 中文授權(quán)安裝版
MATLAB R2024a LINUX版是一款強(qiáng)大完整的數(shù)學(xué)計(jì)算分析和編程軟件!數(shù)百萬(wàn)工程師和科學(xué)家都使用它來(lái)完成自己的項(xiàng)目過(guò)程,具有超強(qiáng)的靈活性,全面適應(yīng)和滿足用戶在工作過(guò)程中...
-
MathWorks MATLAB R2024a v24.1.0.253703 中文授權(quán)安裝版(附安裝教程)
MATLAB R2024a 是一種用于編程、數(shù)值計(jì)算和結(jié)果可視化的高級(jí)語(yǔ)言和交互式環(huán)境。使用 MATLAB,您可以分析數(shù)據(jù)、開(kāi)發(fā)算法、創(chuàng)建模型和應(yīng)用程序,歡迎需要的朋友下載使用...
-
路遙工具箱 v4.8.2024.719 中文綠色開(kāi)源免費(fèi)版
路遙工具箱主要用于解決一些開(kāi)發(fā)過(guò)程中常見(jiàn)的功能性需求,界面簡(jiǎn)潔,功能強(qiáng)大,路遙工具箱是一套專為開(kāi)發(fā)人員設(shè)計(jì)的實(shí)用工具集合,它的主要目的是簡(jiǎn)化開(kāi)發(fā)流程,幫助開(kāi)發(fā)者...
下載聲明
☉ 解壓密碼:chabaoo.cn 就是本站主域名,希望大家看清楚,[ 分享碼的獲取方法 ]可以參考這篇文章
☉ 推薦使用 [ 迅雷 ] 下載,使用 [ WinRAR v5 ] 以上版本解壓本站軟件。
☉ 如果這個(gè)軟件總是不能下載的請(qǐng)?jiān)谠u(píng)論中留言,我們會(huì)盡快修復(fù),謝謝!
☉ 下載本站資源,如果服務(wù)器暫不能下載請(qǐng)過(guò)一段時(shí)間重試!或者多試試幾個(gè)下載地址
☉ 如果遇到什么問(wèn)題,請(qǐng)?jiān)u論留言,我們定會(huì)解決問(wèn)題,謝謝大家支持!
☉ 本站提供的一些商業(yè)軟件是供學(xué)習(xí)研究之用,如用于商業(yè)用途,請(qǐng)購(gòu)買(mǎi)正版。
☉ 本站提供的Java反序列化終極測(cè)試工具 免費(fèi)版資源來(lái)源互聯(lián)網(wǎng),版權(quán)歸該下載資源的合法擁有者所有。