文章目录
写在前面
这篇文章的灵感来自纯好奇大佬的文章
当然推荐大家看看大佬的文章，学点骚操作，我只是顺便分析一下为什么这样可以而已，大佬可乐嗯觉得这些比较简单没有写原因，那我来学习学习顺便记录，大佬文章直达
Java反序列化数据绕WAF之加大量脏数据
分析(以URLDNS为例)
首先我们要知道ObjectInputStream的readObject的调用栈，来个网图自己懒的画，很简单的关系
![[Java安全]HashMap的readObject都发生了什么_初始化](https://s2.51cto.com/images/blog/202210/26153351_6358e2dfdf76425405.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
至于为什么URLDNS，便于我更好的进行跟踪操作，仅此而已
首先看看函数调用栈，看关键的
![[Java安全]HashMap的readObject都发生了什么_初始化_02](https://s2.51cto.com/images/blog/202210/26153352_6358e2e011b6773136.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
首先是去触发readObject方法
![[Java安全]HashMap的readObject都发生了什么_初始化_03](https://s2.51cto.com/images/blog/202210/26153352_6358e2e0482b197524.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
这个s根据地址来看769那就是和上面图对应部分的输入流
![[Java安全]HashMap的readObject都发生了什么_初始化_04](https://s2.51cto.com/images/blog/202210/26153352_6358e2e07405b68100.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
那么我想要知道ObjectInputStream都干了些什么，将文件流传入BlockDataInputStream
![[Java安全]HashMap的readObject都发生了什么_html_05](https://s2.51cto.com/images/blog/202210/26153352_6358e2e0aec8a18719.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
再传入
![[Java安全]HashMap的readObject都发生了什么_自动驾驶_06](https://s2.51cto.com/images/blog/202210/26153352_6358e2e0e14dd4616.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
前面这一部分没啥分析的意义，就是一些初始化读取属性过程
![[Java安全]HashMap的readObject都发生了什么_调用栈_07](https://s2.51cto.com/images/blog/202210/26153353_6358e2e10e4a834960.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
我这里直接跳过垃圾数据那阶段了，反正都是一样的道理跟入
![[Java安全]HashMap的readObject都发生了什么_html_08](https://s2.51cto.com/images/blog/202210/26153353_6358e2e13a4bc78794.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
继续跟入
![[Java安全]HashMap的readObject都发生了什么_html_09](https://s2.51cto.com/images/blog/202210/26153353_6358e2e16a24818576.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
这里根据数据流类型进入对应分支
![[Java安全]HashMap的readObject都发生了什么_初始化_10](https://s2.51cto.com/images/blog/202210/26153353_6358e2e1a6a6f14949.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
看这里似乎是对流执行了序列化
![[Java安全]HashMap的readObject都发生了什么_调用栈_11](https://s2.51cto.com/images/blog/202210/26153354_6358e2e23bd1b13723.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
跟进
![[Java安全]HashMap的readObject都发生了什么_java_12](https://s2.51cto.com/images/blog/202210/26153354_6358e2e25d63614238.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
跟进
![[Java安全]HashMap的readObject都发生了什么_html_13](https://s2.51cto.com/images/blog/202210/26153354_6358e2e29ae0776591.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
跟进lookupObject
![[Java安全]HashMap的readObject都发生了什么_java_14](https://s2.51cto.com/images/blog/202210/26153354_6358e2e2d5fbf50804.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
查找并返回与给定句柄相关的对象
![[Java安全]HashMap的readObject都发生了什么_初始化_15](https://s2.51cto.com/images/blog/202210/26153355_6358e2e30a12c63799.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
实例化
![[Java安全]HashMap的readObject都发生了什么_自动驾驶_16](https://s2.51cto.com/images/blog/202210/26153355_6358e2e3470f163079.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
![[Java安全]HashMap的readObject都发生了什么_调用栈_17](https://s2.51cto.com/images/blog/202210/26153355_6358e2e3718d422489.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
很明显了到这里
![[Java安全]HashMap的readObject都发生了什么_java_18](https://s2.51cto.com/images/blog/202210/26153356_6358e2e40acf240091.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
后面就是到URLDNS链子了，没必要了
![[Java安全]HashMap的readObject都发生了什么_自动驾驶_19](https://s2.51cto.com/images/blog/202210/26153356_6358e2e4ad61471584.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
分析LinkedHashSet,HashSet，TreeSet等类为什么不可以
文章里面师傅说的有点小错误，不是所有的例子都不可以，这里以URLDNS的HashSet为例，可以看到这里因为Hashcode不为-1被返回了
![[Java安全]HashMap的readObject都发生了什么_java_20](https://s2.51cto.com/images/blog/202210/26153356_6358e2e4dd0f225480.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "，可以")
去找一下hashcode咋来的
![[Java安全]HashMap的readObject都发生了什么_html_21](https://s2.51cto.com/images/blog/202210/26153357_6358e2e5184a187384.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
可以看见重点是primVals
![[Java安全]HashMap的readObject都发生了什么_调用栈_22](https://s2.51cto.com/images/blog/202210/26153357_6358e2e55cf8d70375.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
好奇这个哪来的吗，跟入URL的readFields
![[Java安全]HashMap的readObject都发生了什么_html_23](https://s2.51cto.com/images/blog/202210/26153357_6358e2e5a095e60598.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
跟入
![[Java安全]HashMap的readObject都发生了什么_自动驾驶_24](https://s2.51cto.com/images/blog/202210/26153357_6358e2e5d348e23797.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
这里进行了简单的初始化，下面过程比较枯燥
![[Java安全]HashMap的readObject都发生了什么_自动驾驶_25](https://s2.51cto.com/images/blog/202210/26153358_6358e2e6090fa46183.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
接下来到readFields
![[Java安全]HashMap的readObject都发生了什么_调用栈_26](https://s2.51cto.com/images/blog/202210/26153358_6358e2e62c93954995.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
跟进
![[Java安全]HashMap的readObject都发生了什么_调用栈_27](https://s2.51cto.com/images/blog/202210/26153358_6358e2e65994743270.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
继续跟进
![[Java安全]HashMap的readObject都发生了什么_java_28](https://s2.51cto.com/images/blog/202210/26153358_6358e2e68233698501.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
再往下跟进
![[Java安全]HashMap的readObject都发生了什么_html_29](https://s2.51cto.com/images/blog/202210/26153358_6358e2e6b6d4096255.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
继续往下跟进
![[Java安全]HashMap的readObject都发生了什么_初始化_30](https://s2.51cto.com/images/blog/202210/26153358_6358e2e6e2d4b2874.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
可以看到最终调用了readBytes是个native方法，没办法往下跟进的
![[Java安全]HashMap的readObject都发生了什么_调用栈_31](https://s2.51cto.com/images/blog/202210/26153359_6358e2e72416366770.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
![[Java安全]HashMap的readObject都发生了什么_java_32](https://s2.51cto.com/images/blog/202210/26153359_6358e2e74fad816685.png?x-oss-process=image/watermark,size_16,text_QDUxQ1RP5Y2a5a6i,color_FFFFFF,t_30,g_se,x_10,y_10,shadow_20,type_ZmFuZ3poZW5naGVpdGk=/resize,m_fixed,w_1184 "在这里插入图片描述")
具体原因就出这里了，有兴趣的大佬可以试试分析Java底层C实现这个方法
