复现环境:jdk<=8u65,commonsCollections=4.0CommonsCollections4.x版本移除了InvokerTransformer类不再继承Serializable,导致无法序列化.但是提供了TransformingComparator为CommonsCollections3.x所没有的,又带来了新的反序列化危险.cc4的执行命令部分依然沿用cc3的TemplatesI

0背景白日梦组长投稿视频-白日梦组长视频分享-哔哩哔哩视频(bilibili.com)实验环境Java：1.8.0_65IDEA：2022commons-collecetions：4.0        CommonsCollections4除4.0其他版本的 InvokerTransformer和InstantiateTransformer没有实现Serializable，导致该方

我的Github主页Java反序列化学习同步更新，有简单的利用链图分析版本CommonsCollections4.0JDK8u65环境配置参考JAVA安全初探(三):CC1链全分析分析过程在CommonsCollections4.0中，TransformingComparator类变为可序列化类，增加了一条攻击链。CC4在CC3的基础上，改变了

cc链小复习由不同入口进入，最后落到命令执行/代码执行之中其中AnnotationInvocationHandler这个入口需要jdk1.8以前（8u71之后已修复不可利用）其中cc2、cc4针对的commons-collections4版本大于4.0（含）其中cc0就是前面写的cc1的实现1，cc1是cc1的实现2ps：这个原图的cc2和4画反了，上面这