Java代码审计文档

这份资料围绕 Java 代码审计展开，落点在「漏洞怎么形成、代码里长什么样、怎么验证」这条链条上。它不从 Java 语法讲起，而是直接把 RMI 和反序列化这两个在真实审计中出现频率极高的议题摊开来拆，适合已经能写 Java、但对安全审计还没有系统方法的开发者拿来对照实践。

技术栈与知识边界

内容集中在 JVM 生态的服务端安全方向：Java 原生序列化机制、RMI（远程方法调用）的通信与对象传递、以及围绕ObjectInputStream、readObject、反射链构造出的利用路径。涉及的中间件与库依赖是常见的那一批——Commons Collections、TransformedMap 这类在 gadget 链里反复出现的组件。资料不铺开讲 Web 框架层面的漏洞，也不涉及具体甲方业务系统的代码规范，边界比较清晰：就是 Java 语言与标准库层面的安全机制与缺陷。

需要提前具备的基础包括：熟悉 Java 反射（Class、Method、invoke）、了解序列化接口Serializable的读写流程、能看懂 RMI 的 stub/skeleton 结构。缺了这些，读反序列化篇会卡在链的拼装上。

内容结构与推进方式

从资料的组织看，它按「RMI → 反序列化 → POC 编写」的顺序递进。RMI 篇先把远程调用的交互模型讲清楚，包括注册表、对象传递和服务端暴露面，这部分是后面理解反序列化触发点的前提——很多反序列化入口恰恰藏在 RMI 的参数传递里。

反序列化篇分了几段推进，从基础机制讲到常见 gadget 链的构造，再到用 TransformedMap 编写可执行的 POC。这个安排的好处是：不满足于让你知道「反序列化有风险」，而是走到能自己拼一条链、能写出验证代码的程度。审计工作里，能构造 POC 和只能识别危险 API，是两个层级。

可复用的审计思路

• 入口定位：从readObject、readResolve、readExternal这些反序列化回调方法反查调用方，判断数据是否来自不可信来源。
• 数据流跟踪：把外部输入到反序列化操作的路径画出来，识别中间是否有过滤、白名单或类型校验。
• 依赖排查：对照项目依赖里是否存在已知可被利用的 gadget 组件及其版本，这是审计中最快出结论的一条线。
• RMI 暴露面检查：确认服务端是否对外暴露 RMI 端口、是否允许传入任意对象、注册表是否可被远程访问。

这几条不是抽象原则，配合资料里的链式构造案例，可以边读边在自己的代码库或测试项目上跑一遍，验证判断是否成立。

怎么用这份资料

建议的读法是：先过 RMI 篇建立远程调用的整体概念，再进反序列化篇，每读完一段链的构造就动手复现一次——本地起一个最小服务、写一个触发入口、观察调用栈。只读不写，反序列化的链式调用很难真正记住。

POC 编写部分可以当作练习目标：先照着思路实现，再尝试替换链中的组件，看能否在受限环境下依然触发。这种改造练习比重复抄一遍 POC 有价值得多。

整体上，这份资料适合作为 Java 安全审计的切入材料之一，配合实际项目代码对照阅读。它的价值在案例和方法，不在覆盖面，所以更适合动手型读者，而不是把它当手册速查。