0x01 前言

《java反序列化利用链自动挖掘工具gadgetinspector源码浅析》

我的上一篇文章，详细地讲述了gadgetinspector挖掘java反序列化利用链的原理，在明白了gadgetinspector的原理细节后，我们其实会发现它还存在着一部分的缺点：

1. 对于运行时确定的实现，也就是多态性，没办法做到污点分析：

0x01 前言

我们在使用ysoserial的时候，经常会用它生成序列化的payload，用于攻击具有反序列化功能的endpoint，而这些payload大部分都是比较长的一条执行链，在反序列化期间，由执行程序执行攻击者可控的source，然后通过依赖中存在的执行链，最终触发至slink，从而达到攻击的效果。

0x01 介绍

https://github.com/baidu/openrasp

Introduction

Unlike perimeter control solutions like WAF, OpenRASP directly integrates its protection engine into the application server by instrumentation. It can monitor various events including database queries, file operations and network requests etc.

dubbo协议

header：

1
2
3
4
5
6
7
8
9

0-7位和8-15位：Magic High和Magic Low，类似java字节码文件里的魔数，用来判断是不是dubbo协议的数据包，就是一个固定的数字
16位：Req/Res：请求还是响应标识。
17位：2way：单向还是双向
18位：Event：是否是事件
19-23位：Serialization 编号
24-31位：status状态
32-95位：id编号
96-127位：body数据长度
128-…位：body

前言不得不说一下自己对dubbo源码的感想：著名的框架，其内在架构设计都非常漂亮并具有工程性

从调试的角度去看待源码

• 代理工厂

无论是服务消费者还是服务提供者，都得对调用服务的interface进行proxy，代理工厂具有两个，分别为javassist和jdk proxy