前言

很多反序列化的防御都是在resolveClass中限制了白名单或者黑名单来控制反序列化，今天探究其原理。

前言

之前项目遇到httponly的情况，总结后发现对于xss遇到httponly如何继续利用了解手段不够多。从同事那里听说了这种技巧于是就决定总结一下此种用法。

前言

CommonCollections系列的gadgets我们在反序列化利用中用的很多，下面剖析一下ysoserial中CommonCollections7的调用链和原理。

实验环境:jdk1.8.0_211、commons-collections:commons-collections:3.1

前言

CommonCollections系列的gadgets我们在反序列化利用中用的很多，下面剖析一下ysoserial中CommonCollections6的调用链和原理。

实验环境:jdk1.8.0_211、commons-collections:commons-collections:3.1

前言

CommonCollections系列的gadgets我们在反序列化利用中用的很多，下面剖析一下ysoserial中CommonCollections5的调用链和原理。

实验环境:jdk1.8.0_211、commons-collections:commons-collections:3.1

前言

CommonCollections系列的gadgets之CommonsCollections4

实验环境:jdk1.8.0_211、org.apache.commons:commons-collections4:4.0

前言

CommonCollections系列的gadgets之CommonsCollections3

实验环境:jdk1.7.0_80、commons-collections:commons-collections:3.1

前言

CommonCollections系列的gadgets之CommonsCollections2

实验环境:jdk1.8.0_211 、org.apache.commons:commons-collections4:4.0

前言

CommonCollections系列的gadgets我们在反序列化利用中用的很多，下面剖析一下ysoserial中CommonCollections1的调用链和原理。

实验环境:jdk1.7.0_80、commons-collections:commons-collections:3.1

前言

FileUpload1

实验环境:jdk1.8.0_211、commons-fileupload:commons-fileupload:1.3.1、commons-io:commons-io:2.4