https://www.anquanke.com/post/id/239867

使用marshalsec 创建恶意RMI服务

注意：此RMI服务不在目标主机上，在搭建了文件服务器的主机上。

（当然，它也可以在其他机器中，只要各个机器可以互相访问）

RMI: Remote Method Invocation，远程方法调用。RMI服务器类似以前的电话转接员，用于转接服务器的特定请求。

此处需要用到一些其他知识：

java 基础命令
maven 基础命令

FastJson反序列化漏洞_git

下载marshalsec

Github:

git clone https:///mbechler/marshalsec.git

Gitee:

git clone https://gitee.com/Plastilina/marshalsec.git

完成后进入marshalsec目录，其中有一个pom.xml文件，这是一个maven的项目构建文件

使用maven构建项目：mvn compile

FastJson反序列化漏洞_github_02

构建完成后，在该目录下会有一个target目录，内含构建好的jar包

我们需要使用的为marshalsec-0.0.3-SNAPSHOT-all.jar

也可以直接下载编译完成的jar包

链接：

Gitee:

git clone https://gitee.com/Plastilina/marshalsec-jar.git