之前有分析到，fastjson识别setter的流程如下： 按以下顺序判断，满足条件的话，会被当成setter调用： set开头，参数长度为1，非static，方法名总长度大于3 没有setter方法，有字段是bool类型，则用is加上首

Groovy 是一种基于 Java 平台的面向对象语言。 pom.xml： 12345<dependency> <groupId>org.codehaus.groovy</groupId&g

想不到2017的链子我还在复现 反序列化条件达到以下任意一个条件，可以反序列化指定类： 开启了enableDefaultTyping()四个的任意一个设置，不过不同设置能反序列化的范围不同，trick也不同（不过范围最小的JAVA_LAN

pom.xml： 123456789101112131415<dependency> <groupId>com.fasterxml.jackson.core</groupId> <art

回想fastjson获取setter方法的部分 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748for (Meth

FastJson 是阿里巴巴的开源 JSON 解析库，它可以解析 JSON 格式的字符串，支持 javaBean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 javabean 特点就是快，性能好，也就是因为此，Fast

ROME 是一个关于 RSS 和 Atom 格式的 java 框架 那什么是 RSS 和 Atom 呢？ RSS 全称：RDF Site Summary 或 Really Simple Syndication，中文翻译为简易信息聚合，也叫做

Shiro550环境搭建：123git clone https://github.com/apache/shiro.gitcd shirogit checkout shiro-root-1.2.4 //切换到1.2.4版本 修改sampl

最近必火出了一个反序列化的视频，出来我就买了，很快啊，马上来篇总结 漏洞环境均为docker compose起的vulhub，然后环境拉出来，IDEA配个远程调试 struts2s2-005如何快速判断目标主机是否使用了struct2:路径

这篇文章的主要目的是学习一下spel表达式注入和哥斯拉内存马注入，还有神器java-object-searcher的使用 SPEL表达式注入 spel支持在运行时查询和操作对象图，以API接口的形式创建，所以可以集成到其他应用程序和框架中