Jackson跟fastjson很相近，所以前言还是从fastjson过渡过来。 前言主要还是介绍Jackson原生反序列化引用。 这里从Fastjson重新开始说起： 在Fastjson中，JSONArray和JSONObject都实现了Serializable接口，这两个类的toString方法都能触发toJSONString的调用，要把一个JSON对象转字符串，必然涉及到对象属性的获取，会调

到了喜闻乐见的Fastjson。 前言Fastjson 是阿里巴巴的开源 JSON 解析库，支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 JavaBean。顾名思义，FastJson的特点就是快。 先从最简单的用法说起吧。 Basic Usage依赖用的1.2.23 12345<dependency> <groupId>

JNDI它终于来了。 前言首先介绍一下什么是JNDI。 JNDI(Java Naming and Directory Interface)：Java命名与目录接口 标准的Java命名系统接口，JNDI提供统一的客户端API，通过不同的访问提供者接口JNDI服务供应接口（SPI）的实现，由管理者将JNDI API映射为特定的命名服务和目录系统，使Java应用程序能和这些命名服务和目录服务之间进行交互

这次续上CC3里没讲完的动态加载字节码。 利用 URLClassLoader 加载远程class文件Java的ClassLoader来用来加载字节码文件最基础的方法。 学到这里，知道反射的人应该也很清楚，ClassLoader就是一个“加载器”，告诉Java虚拟机如何加载这个类。Java默认的ClassLoader就是根据类名来加载类，这个类名是类完整路径，如 java.lang.Runtime

前言当初学Java反序列化最先遇到的，这也是绕不开的东西。虽然现在对于很多Java反序列化题已经不能直接套用CC链速通，但是很多缝合怪调试到最后一步还是采用的CC链部分，因为原生反序列化肯定是很好用的。 首先简单介绍一下几个关键词： 1对于利用链上的类，都需要实现Serializable接口、或继承该接口的实现类 123Source：入口类（重写readObject调用常见方法，参数类型宽泛，最

前言这次国赛算是爆种了，拿下了全国总冠军。 微信公众平台 (qq.com) 算是让天枢后继有人了吧。 （领奖的那位是我hhhhh，在左二挨着川大网安院院长） 主要还是第二天的渗透比较适合我吧哈哈，天时地利人和，队友也很给力，最后直接一鼓作气冲到了榜首😀 渗透的wp不打算写，反正网上也有打的比我多一道题的写了wp，我们渗透是并列第二，据说云镜会上，到时候再看看能不能冲下DC了却当时的遗憾。 第

前言首先了解一下啥是RMI。 RMI：Remote Method Invocation 远程方法调用。 1234RMI为应用提供了远程调用的接口（Java的RPC框架）调用远程位置对象的方法实现RMI的协议叫JRMPRMI实现过程存在Java对象的传递，因此涉及到反序列化 基本上从java反序列化取经出来，遇到且绕不开的应该是各个CC链，而且很多的java反序列化非常具有缝合怪的风格，在前期学业