Java代码审计文档

这份资料的主题很明确：Java 代码审计，而且偏重漏洞原理与利用链的拆解。它不教你写业务代码，也不讲框架怎么搭，它盯的是另一件事——一段看起来正常的 Java 代码，在攻击者眼里能变成什么。如果你的日常工作包括评审 Java 项目、做安全测试，或者你只是想在读源码的时候多一双"找漏洞的眼睛"，那这份资料值得排进你的清单。但先说清楚：它不适合零基础。你得能看懂 Java 的反射、注解、集合类，最好还写过一点序列化和网络调用的代码，否则从中间任何一篇翻起都会卡住。

先确认缺口：你缺的是"能利用的视角"

很多人做代码审计，习惯从配置、从权限、从输入校验这些常规点切进去，能找到不少问题，但往往停在"这里没做校验，有风险"的层面。真正让人头疼的是另一类：代码本身没有明显疏漏，逻辑也自洽，可一旦把 Java 语言自身的机制串起来，就能拼出一条完整的攻击路径。这份资料里的 RMI 篇和反序列化篇，补的正是这个缺口。

RMI 是 Java 自带的远程调用机制，很多人只在课本上见过，实际项目里碰到也不一定认得出来。可它牵扯到对象在网络两端的传递、动态类加载、注册表查询，每一个环节都可能成为入口。反序列化更是老生常谈，但真正难的从来不是"知道反序列化有风险"，而是能不能看懂一条利用链是怎么被搭出来的、为什么某个类会出现在链上、哪一步负责触发。资料里连续几篇反序列化的内容加上用 TransformedMap 编写 POC 的部分，就是冲着"把链条走通"去的，而不是停在概念。

配套练习该怎么做

这类内容光看是没用的。建议每读完一篇，先别急着往下翻，做三件事：

• 回看自己手上项目的依赖。把项目依赖里的第三方库列出常用版本，对着已知的反序列化相关组件查一遍，看有没有踩到。这一步不要求你能利用，只要求你能认出名字。
• 把 POC 的思路用自己的话重写一遍。不是抄代码，是讲清楚"从哪个入口进、经过哪几个类、最后触发什么动作"。讲不顺的地方，就是你没真懂的地方。
• 在隔离环境里复现最小的那条链。用虚拟机或者容器起一个环境，版本对齐，亲手把从构造对象到触发的过程跑一次。跑不通没关系，卡住的位置本身就有价值。

另外提醒一句，反序列化涉及的具体利用方式敏感度较高，练习务必放在自己可控的本地环境里，别对着任何线上系统做尝试。

看完之后，你应该能回答这些问题

判断自己有没有吃透，不用看做了多少笔记，看能不能答上下面这些：

• RMI 调用过程中，哪些环节允许外部影响类的加载或对象的解析？
• 一条反序列化利用链通常由哪几部分组成，各自承担什么角色？
• 为什么某些看起来只是做数据转换的集合类，会成为链上的关键节点？
• 面对一个陌生的 Java 项目，你会按什么顺序去判断它是否存在反序列化风险？
• 同一条链在不同 JDK 版本下可能失效，原因通常出在哪里？

这些问题答得清楚，说明你已经从"知道有漏洞"走到"能判断漏洞能不能用"这一层了。答不上来，就回去把那几篇再翻一遍，尤其是讲利用链构造的部分。

这份资料的定位

它不是一本从语法讲起的教材，更像是一份专题笔记，把 Java 安全里最难自己啃下来的两块——RMI 和反序列化——拆开讲透。适合当作查漏补缺的第二遍材料：你已经知道漏洞名字，但没真正走通过链条，这时候看它最合适。如果你连 Java 反射和序列化的基本用法都还不熟，建议先去补这两块基础，再回来读，效率会高很多。