早就想学java安全，但一直无从下手，今天下定决心好好学习，当然以下内容可能会有些许错误，小白的烦恼。 序列化与反序列化 Java序列化是指把Java对象转换为字节序列的过程；而Java反序列化是指把字节序列恢复为Java对象的过程。 序列化分为两大部分：序列化和反序列化。序列化是这个过程的第
0x01 什么是序列化与反序列化？ 序列化与反序列化的关键函数？ 反序列化过后的数据有啥特征? java反序列化漏洞与php反序列化漏洞的相似之处? 这一章，我们只需要搞清楚前面三个问题就行了，其实java反序列化漏洞的原理很简单，只是各个POP链比较复杂。我会很浅显的介绍一下java
查看JDK源码的时候会发现很多地方都会加上transient关键字来修饰一些属性，那究竟是出于什么考虑才这么做呢？ 我觉得，应该是为了节约磁盘空间。 说明： 存储 ArrayList 元素的数组缓冲区。 当添加第1个元素时将扩展为 DEFAULT_CAPACITY。 这个缓冲区的容量实际上并不是ArrayList的容
对象的输出流： ObjectOutputStream 对象的输入流: ObjectInputStream java.io.ObjectOutputStream是实现序列化的关键类，它可以将一个对象转换成二进制流，然后可以通过ObjectInputStream将二进制流还原成对象。 主要的作用是用于写入对象信息与读取对象信息。 对象信息一旦写到文
前言 java 的序列化大家肯定并不陌生， 在使用一些开源开源框架比如 dubbo 的时候，肯定踩过实体类没有实现序列化接口（java.io.Serializable）而报错的情况， 那大家有没有想过为什么要序列化实体类？如果实体类引用了一个不能序列化的类该怎么做呢？下面就给大家讲下我所探索的Java序列化
单例的实现 静态内部类 类加载 枚举 单例模式（避免反射、序列化问题） 序列化之writeObject 和readObject
原创：小姐姐味道（微信公众号ID：xjjdog），欢迎分享，转载请保留出处。现象如果你有仔细阅读过HashMap的源码，那么你一定注意过一个问题：HashMap中有两个私有方法。private void writeObject(java.io.ObjectOutputStream s) throws IOException private void readObject(java.io.ObjectI
JAVA 真的令人头大 参考文章 Java反序列化漏洞从入门到深入 JAVA 序列化与反序列化 简介 同 PHP/Python 类似，java 序列化的目的是将程序中对象状态转换成以数据流形式，反序列化是将数据流恢复为对象。 此举可以有效地实现多平台之间的通信、对象持久化存储。 序列化实例 import jav
Java安全之原生readObject方法解读 0x00 前言 在上篇文章分析shiro中，遇到了Shiro重写了ObjectInputStream的resolveClass导致的一些基于InvokerTransformer去实现的利用链没法使用，因为这需要去定义一个InvokerTrans数组,而该数组传入到Shiro重写后的resolveClass方法中会报错。但
