Lazytom@Y4tacker周末打了下虎符,又学了点新东西Translate Tweety4tacker.github.io2022虎符CTF-Java部分2022虎符CTF-Java部分写在前面 非小白文,代码基于marshalsec项目基础上进行修改 正文 本身我是不太懂hessian的反序列化,大概去网上搜了一下配合ROME利用的思路(如果反序列化map对象,在逻辑后面通过put操作,从而触发对key调用hashCode打ROME),这里不清楚可以看看ROME利用链以及hessian反序列化的一些简单东西 首先简单看下12:48 PM · Mar 22, 2022·Twitter for iPhone5 Retweets27 Likes