Lazytom@Y4tacker周末打了下虎符，又学了点新东西Translate Tweety4tacker.github.io2022虎符CTF-Java部分2022虎符CTF-Java部分写在前面 非小白文，代码基于marshalsec项目基础上进行修改 正文 本身我是不太懂hessian的反序列化，大概去网上搜了一下配合ROME利用的思路（如果反序列化map对象，在逻辑后面通过put操作，从而触发对key调用hashCode打ROME），这里不清楚可以看看ROME利用链以及hessian反序列化的一些简单东西 首先简单看下12:48 PM · Mar 22, 2022·Twitter for iPhone5 Retweets27 Likes
