详情见：https://www.cnblogs.com/F12-blog/p/18111253 之前说的都是利用 jsp 注入内存马，但 Web 服务器中的 jsp 编译器还是会编译生成对应的 java 文件然后进行编译加载并进行实例化，所以还是会落地。 但如果直接注入，比如利用反序列化漏洞进行注入，由于 request 和 response 是 jsp 的内置对象，在回显问题上不用考虑，但如果不用 jsp 文件，就需要考虑如何回显的问题。 其实主要要解决的问题就是如何获取 request 和 response 对象。 目前主流的回显技术（部分）主要有： linux 下通过文件描述符，获取 Stream 对象，对当前网络连接进行读写操作。 限制：必须是 linux，并且在取文件描述符的过程中有可能会受到其他连接信息的干扰 通过ThreadLocal Response回显，基于调用栈获取中获取 response 对象（ApplicationFilterChain中） 限制：如果漏洞在 ApplicationFilterChain 获取回显 response...
