Java反序列化：Groovy利用链

前文提到序列化漏洞问题，一般不太可能有readObject上有直接可以命令执行的问题，而是会存在调用一些比较特殊的方法，导致产生漏洞。

参考【1】, 很多文章介绍Java反序列化都是用的commons-connection1利用链，但是这条利用链对于新手来说不太友好，重点不在反序列化，而在于commons-connection1本身LazyMap这条链上。这里以ysoserial Groovy1为例分析下原理。

more >>

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true