https://baozongwi.xyz/tags/hessian/Currently exploring Java security and internal network penetration, with CTFs as a hobby.Hugozh-cnhttps://baozongwi.xyz/p/d3ctf-2023-ezjava/Thu, 20 Nov 2025 21:27:35 +0800https://baozongwi.xyz/p/d3ctf-2023-ezjava/从华哥的博客里面拿到附件，打开一看是有docker的，这可是一件美事啊，拉docker的时候顶针到有个8u342，最近对这个比较敏感，可以直接BCEL加载字节码 有两个 jar 包两个服务 flag 在 server 里面，并且 server 是不暴露的 package …https://baozongwi.xyz/p/0ctf-2022-hessian-onlyjdk/Tue, 18 Nov 2025 21:34:05 +0800https://baozongwi.xyz/p/0ctf-2022-hessian-onlyjdk/https://github.com/waderwu/My-CTF-Challenges/blob/master/0ctf-2022/hessian-onlyJdk/deploy/hessian-onlyJdk.jar hint: …https://baozongwi.xyz/p/hessian-deserialization/Tue, 18 Nov 2025 01:00:59 +0800https://baozongwi.xyz/p/hessian-deserialization/序列化 HessianOutput 和 Hessian2Output 都是抽象类 AbstractHessianOutput 的实现，二者的 writeObject 方法一致，根据传入的 object 的类型，获取对应需要的序列化器，调用序列化器的 writeObject 方法序列化数据。代码如下 public …https://baozongwi.xyz/p/resin-deserialization-vuln/Tue, 04 Nov 2025 01:28:35 +0800https://baozongwi.xyz/p/resin-deserialization-vuln/特么的，一开始因为想学习 jackson 反序列化漏洞，我发现有 gadget 和 hessian 差不多，然后看了 hessian 发现和这个差不多，man。😅而且网上参考好少… 简介 Resin是由CAUCHO公司开发的流行引擎，支持Servlets和JSP，速度极快。它内置HTTP/1.1 WEB服务器，不仅擅长 …