Import Java.io.object OutputStream

之前的CVE-2016-4437提到过，在shiro-1.2.5及以后，对其进行了修复，密钥不再固定（如果不自己指定的话），而是每次启动时会自动生成一个密钥,那这种情况我们就只需要通过某种方法获取到密钥就可以继续之前的Shiro-550反序列化攻击。 最简单的方法是爆破，但重要的是如何判断我们爆破成功了？ 不了解cve-2016-4437 看：shiro550 DNS回显 根据rememberMe服务可知，只要我们加密的密钥一致，则可以解密出正确数据，然后反序列化。 因此可以想到的思路是用URLDNS链，通过DNS请求的回显判断是否解密成功，从而宣告密钥破解成功 生成序列化数据 package com.unserialization.cc; import java.io.FileInputStream; import java.io.FileOutputStream; import java.io.ObjectInputStream; import java.io.ObjectOutputStream; import java.lang.reflect.Field; import...

环境准备 JDK1.8(8u421) JDK8的版本应该都没什么影响，这里直接以我的镜像为准了、commons-beanutils:commons-beanutils:1.9.2、commons-collections:commons-collections:3.2、javassist:javassist:3.12.0.GA mvn中加入以下依赖： <dependency> <groupId>commons-collections</groupId> <artifactId>commons-collections</artifactId> <version>3.2</version> </dependency> <dependency> <groupId>javassist</groupId> <artifactId>javassist</artifactId> <version>3.12.1.GA</version> </dependency> <!--...

In advanced Java, serialization and deserialization are processes to save and restore the state of an object, making it possible to store objects in files or databases, or transfer them over a network. Here’s a breakdown of these concepts and their application 1️⃣ Serialization Serialization is the process of converting an object into a stream of bytes. This byte stream can be saved to a file, sent over a network, or stored in a database.