java反序列化底层探究

前言

学到weblogic和一些调用链的细节的时候，发现反序列化底层理解还是非常重要的，因为很多绕过手法和黑名单的禁用都是根据底层来进行的

DEMO

import java.io.*;
public class Main {
    public static class Demo implements Serializable {
        transient String name;
        public Demo(String name) {
            this.name = name;
        }
        public static void main(String[] args) throws IOException, ClassNotFoundException {
            Demo demo = new Demo("nn0nkey");
            ObjectOutputStream outputStream = new ObjectOutputStream(new FileOutputStream("panda.out"));
            outputStream.writeObject(demo);
            outputStream.close();
            ObjectInputStream inputStream = new ObjectInputStream(new FileInputStream("panda.out"));
            inputStream.readObject();

        }
    }
}

反序列化分析

一般我们就知道反序列化会调用readobject方法，现在就好好分析一下readobject干了啥

首先判断是不是重载类型的，如果不是调用Object obj = readObject0(false);去恢复对象

readObject0方法会对不同的类型进行不同的处理，我这里是object类型的

readOrdinaryObject(unshared)我们继续看看是怎么处理的

内部调用ObjectStreamClass desc = readClassDesc(false);去读取我们的序列化流的描述信息，跟进