Freddy the Serial(isation)Killer-反序列化错误查找器
Burp Suite扩展,可帮助检测和利用序列化库/ API。
此有用的扩展最初是由Nick Bloor(nickstadb)为NCC Group开发的,主要基于AlvaroMuñoz和Oleksandr Mirosh日 ,他们在Black Hat USA 2017和DEF CON 25上进行了介绍。他们在工作中回顾了针对Java和.NET的一系列JSON和XML序列化库,发现它们中的许多都支持任意运行时对象
当一个父类实现Serializable接口后,他的子类都将自动的实现序列化。 以下验证了这一点: package Serial; import java.io.Serializable; public class SuperC implements Serializable {//父类实现了序列化 int supervalue; public SuperC(int supervalue) { this.supervalue = supervalue; } pu