本章源码： https://github.com/hey3e/JavaSec-Code/tree/main/javasec4

深入分析CVE-2021-21344。

本章源码： https://github.com/hey3e/JavaSec-Code/tree/main/javasec3

上章我们了解到，通过控制lookup方法的参数，可以实现JNDI注入。从控制到注入，就是一条完整的攻击链。我们来看一个实例。

本章源码： https://github.com/hey3e/JavaSec-Code/tree/main/javasec1

（1）序列化与反序列化

在Java中，我们创建的对象会随着其JVM的销毁而销毁。但有时，我们希望能在其他JVM、或是其他机器上复用这个对象。序列化允许我们将Java对象转换为字节流，便于存储到本地，以及通过网络发送给其他机器。而反序列化允许我们重新将序列化的字节流还原为Java对象。