首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往
  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    针对RMI的反序列化攻击

    方法,跟进一下 可以看见该方法使用了setObjectInputFilter方法,而这个方法是用作于给序列化数据增加过滤器的 这里便是为当前序列化流增加了UnicastServerRef.this.filter...那么UnicastServerRef.this.filter这个值又是哪里来的呢?...答案是在调用getRegistry时UnicastServerRef便被初始化了,其filter值也被进行了赋值(Naming.bind 会自动调用 LocateRegistry.getRegistry...所以UnicastServerRef.this.filter的值便是RegistryImpl#registryFilter 在调用unmarshalCustomCallData设置好当前序列化流的过滤器后...这里先来把该攻击方法的大致轮廓勾勒出来,方便阅读下面的内容: 首先我们向注册端发送一个恶意对象 该对象能在被反序列化时主动向一个恶意注册端发起通讯并反序列化其传送过来的内容,此过程的反序列化没有经过Filter

    63540
    领券