Java序列化基础-URLDNS利用
原文中文，约5600字，阅读约需14分钟。
📝
内容提要
序列化是将对象转换为字节序列的过程，反序列化是将字节序列转换回对象的过程。序列化可以实现数据持久化和远程通信。反序列化漏洞是利用服务端反序列化数据时执行恶意代码的漏洞。URLDNS链是一种常见的反序列化利用链，利用Java原生类实现。通过修改URL对象的hashCode值，可以控制是否触发DNS请求。反序列化漏洞存在一定的危害，但URLDNS链主要用于获取信息。
❓
Q&A
什么是Java序列化和反序列化？
Java序列化是将对象转换为字节序列的过程，反序列化是将字节序列转换回对象的过程。
反序列化漏洞是如何产生的？
反序列化漏洞产生于服务端在反序列化时自动执行客户端传递的代码，攻击者可以利用这一点执行恶意代码。
URLDNS链的主要用途是什么？
URLDNS链主要用于获取信息，如系统版本等，虽然其危害相对较小。
如何通过修改URL对象的hashCode值来控制DNS请求？
通过将URL对象的hashCode值设置为-1，可以在反序列化时触发DNS请求，而序列化时则不请求DNS。
反序列化时HashMap和URL类的hashCode方法有什么关系？
在反序列化过程中，HashMap会调用URL的hashCode方法，从而可能导致DNS请求的发起。
URLDNS链的攻击过程涉及哪些技术？
URLDNS链的攻击过程涉及反射和动态代理，利用Java内置类实现，简单易用。
🏷️
