这几天学习了BlackHat Europe 2019的议题《New Exploit Technique In Java Deserialization Attack》， 膜拜师傅们的同时，做一个简单的分析。该需要能够控制客户端的JDBC连接串，在连接阶段即可触发，无需继续执行SQL语句。测试代码需要自
# MySQL反序列化
## 流程概述
MySQL反序列化是指将存储在数据库中的序列化数据重新转换为对象或数据结构。在实现 MySQL反序列化之前，我们需要先了解序列化和反序列化的概念。
序列化是将对象转换为可存储或传输的格式的过程，而反序列化则是将序列化的数据重新转换为对象的过程。在 MySQL 中，序列化通常是指将对象序列化为二进制格式存储在 BLOB（Binary Large O
MySQL JDBC 反序列化漏洞最早提出应该是BlackHat Europe 2019会议中的一个议题，下图是机翻的截图。JDBC是Java 的 API，它定义了客戶端如何访问数据库。JDBC是接口,而JDBC Driver才是接口的实现。下图是菜鸟教程上的一个实例原理分析首先是连接的url中第一个可被利用的参数 autoDeserialize，也是该漏洞的反序列化点，位于com.mysql.c
