JAVA反序列化深入学习（十二）：Groovy1

最新推荐文章于 2025-11-17 17:04:36 发布
原创 最新推荐文章于 2025-11-17 17:04:36 发布 · 1.2k 阅读 · 23
  • Groovy 是一种基于 JVM 的开发语言，具有类似于 Python，Ruby，Perl 和 Smalltalk 的功能
  • Groovy 既可以用作 Java 平台的编程语言，也可以用作脚本语言
  • Groovy 编译之后生成 .class 文件，与 Java 编译生成的无异，因此可以在 JVM 上运行
  • 在项目中可以引用 Groovy 的相关包依赖，分为核心包和模块包，如果想依赖全部包，可以使用 groovy-all

本条利用 Gadget 就是在 Groovy 核心包中

JAVA环境

java version "1.7.0_80"

Java(TM) SE Runtime Environment (build 1.7.0_80-b15)

Java HotSpot(TM) 64-Bit Server VM (build 24.80-b11, mixed mode)

依赖版本

  • Apache Groovy 依赖版本：1.7.0-2.4.3

检查依赖配置

确认项目中是否正确引入了

  • Apache Groovy

的依赖。如果使用的是 Maven，可以在 pom.xml 文件中添加以下依赖：

  <dependency>
      <groupId>org.codehaus.groovy</groupId>
      <artifactId>groovy</artifactId>
      <version>2.3.9</version>
  </dependency>

资源下载

前置知识

MethodClosure

org.codehaus.groovy.runtime.MethodClosure 是方法闭包，

标签
#web安全 #网络 #java #反序列化 #Groovy
最低0.47元/天 解锁文章
groovy-all-2.3.9.jar中文文档.zip
08-18
1、压缩文件中包含： 中文文档、jar包下载地址、Maven依赖、Gradle依赖、源代码下载地址。 2、使用方法： 解压最外层zip，再解压其中的zip包，双击 【index.html】 文件，即可用浏览器打开、进行查看。 3、特殊说明： （1）本文档为人性化翻译，精心制作，请放心使用； （2）只翻译了该翻译的内容，如：注释、说明、描述、用法讲解 等； （3）不该翻译的内容保持原样，如：类名、方法名、包名、类型、关键字、代码 等。 4、温馨提示： （1）为了防止解压后路径太长导致浏览器无法打开，推荐在解压时选择“解压到当前文件夹”（放心，自带文件夹，文件不会散落一地）； （2）有时，一套Java组件会有多个jar，所以在下载前，请仔细阅读本篇描述，以确保这就是你需要的文件。 5、本文件关键字： jar中文文档.zip,java,jar包,Maven,第三方jar包,组件,开源组件,第三方组件,Gradle,中文API文档,手册,开发手册,使用手册,参考手册。
groovy-all-2.4.13.jar中文文档.zip
08-28
1、压缩文件中包含： 中文文档、jar包下载地址、Maven依赖、Gradle依赖、源代码下载地址。 2、使用方法： 解压最外层zip，再解压其中的zip包，双击 【index.html】 文件，即可用浏览器打开、进行查看。 3、特殊说明： （1）本文档为人性化翻译，精心制作，请放心使用； （2）只翻译了该翻译的内容，如：注释、说明、描述、用法讲解 等； （3）不该翻译的内容保持原样，如：类名、方法名、包名、类型、关键字、代码 等。 4、温馨提示： （1）为了防止解压后路径太长导致浏览器无法打开，推荐在解压时选择“解压到当前文件夹”（放心，自带文件夹，文件不会散落一地）； （2）有时，一套Java组件会有多个jar，所以在下载前，请仔细阅读本篇描述，以确保这就是你需要的文件。 5、本文件关键字： jar中文文档.zip,java,jar包,Maven,第三方jar包,组件,开源组件,第三方组件,Gradle,中文API文档,手册,开发手册,使用手册,参考手册。
java反序列化之Groovy1链条分析
weixin_45682070的博客
01-26 992
前言 之前分析了cc链条，这次分析一下Groovy1链条 简介 Groovy 是 Apache 旗下的一门基于 JVM 平台的动态/敏捷编程语言，在语言的设计上它吸纳了 Python、Ruby 和 Smalltalk 语言的优秀特性，语法非常简练和优美，开发效率也非常高（编程语言的开发效率和性能是相互矛盾的，越高级的编程语言性能越差，因为意味着更多底层的封装，不过开发效率会更高，需结合使用场景做取舍）。并且，Groovy 可以与 Java 语言无缝对接，在写 Groovy 的时候如果忘记了语法可以直接按Ja
Tomcat Session(CVE-2020-9484)反序列化漏洞复现
m0_67401545的博客
08-25 1947
北京时间2020年05月20日，Apache官方发布了 Apache Tomcat 远程代码执行 的风险通告，该漏洞编号为 CVE-2020-9484。Apache Tomcat 是一个开放源代码、运行servlet和JSP Web应用软件的基于Java的Web应用软件容器。当Tomcat使用了自带session同步功能时，使用不安全的配置（没有使用EncryptInterceptor）会存在反序列化漏洞，攻击者通过精心构造的数据包， 可以对使用了自带session同步功能的Tomcat服务器进行攻击。
java调用groovy脚本实战
wsymyz的博客
03-03 523
简介 Groovy是构建在JVM上的一个轻量级却强大的动态语言, 它结合了Python、Ruby和Smalltalk的许多强大的特性. Groovy就是用Java写的 , Groovy语法与Java语法类似, Groovy 代码能够与 Java 代码很好地结合，也能用于扩展现有代码, 相对于Java, 它在编写代码的灵活性上有非常明显的提升 需求: 当java逻辑需要调用某段groovy脚本时，我...
ysoserial java 反序列化 Groovy1
whatday的专栏
06-23 2078
ysoserial简介 ysoserial是一款在Github开源的知名java 反序列化利用工具，里面集合了各种java反序列化payload； 由于其中部分payload使用到的低版本JDK中的类，所以建议自己私下分析学习时使用低版本JDK JDK版本建议在1.7u21以下。 此篇文章为java反序列化系列文章的第一篇，后续会以ysoserial这款工具为中心，挨个的去分析其中的反序列化payload和gadget，讲完该工具后会继续对工具中没有的java 反序列化漏洞进行讲解，例如 FastJs
java 反序列化（1）：Groovy链
qq_38641816的博客
03-24 417
1，完整利用代码如下： public class groovtest { static String command = "calc"; public static void main(String[] args){ // write object try{ //封装我们需要执行的对象 MethodClosure methodClosure = new MethodClosure(command,"execut
浅谈java反序列化工具ysoserial
09-11 2458
前言 　　关于java反序列化漏洞的原理分析，基本都是在分析使用Apache Commons Collections这个库，造成的反序列化问题。然而，在下载老外的ysoserial工具并仔细看看后，我发现了许多值得学习的知识。 至少能学到如下内容: 　　不同反序列化payload玩法灵活运用了反射机制和动态代理机制构造POC 　　java反序列化不仅是有Apache Comm...
Fastjson反序列化：Groovy+Commons-io 文件写入漏洞深度剖析
最新发布
从零开始，掌握网络安全。提供全面的网络安全教程、攻防演练技巧和行业动态。
11-17 796
Fastjson反序列化漏洞结合Groovy脚本和Commons-io依赖可形成严重攻击链。当Fastjson存在反序列化漏洞时，攻击者通过构造恶意JSON payload实例化GroovyShell类，执行包含Commons-io文件操作的Groovy脚本，实现任意文件写入，从而植入Webshell或篡改配置。漏洞利用需三个条件同时满足：Fastjson反序列化漏洞、Groovy依赖提供动态脚本执行能力、Commons-io依赖简化文件操作。典型攻击流程为：Fastjson解析恶意JSON→触发Groov
如何用 Groovy 做 Json串的生成（序列化）和解析（反序列化）工作
杨波的专栏
02-28 3556
[Json格式](https://www.json.org/json-zh.html)是web开发常用的信息交换格式，规范简单，生成的内容易于理解。 Groovy 中对Json的支持还是比较丰富的，下面我们就一起来看看如何使用Groovy完成常见的Json串解析（序列化）和反解（反序列化）任务。
groovy jar包
09-19
自己用的，可正常使用！大家请放心使用。
Groovy jar包
12-23
Groovy 脚本化Bean jar包下载
groovy-all-2.1.3.jar
05-03
groovy-all.jar所要包含的jar包
groovy2.3.2
05-30
groovy 2.3.2 concurrent programming in java
开发用jar包合集
03-07
目前包含jar列表如下： ant-1.9.3.jar ant-launcher-1.9.3.jar asm-all-5.0.3.jar bcpg-jdk15on-1.51.jar bcprov-jdk15on-1.51.jar bndlib-2.1.0.jar bsh-2.0b4.jar commons-beanutils-1.7.0.jar commons-cli-1.2.jar commons-codec-1.10.jar commons-codec-1.11-javadoc.jar commons-codec-1.11-sources.jar commons-codec-1.11-test-sources.jar commons-codec-1.11-tests.jar commons-codec-1.11.jar commons-codec-1.4.jar commons-codec-1.6.jar commons-collections-3.2.1.jar commons-collections-3.2.jar commons-httpclient-3.0.1.jar commons-io-1.4.jar commons-io-2.2.jar commons-jexl-2.1.1.jar commons-lang-2.4.jar commons-lang-2.6.jar commons-logging-1.1.1.jar commons-logging-1.1.jar commons-logging-1.2.jar core-3.1.1.jar dom4j-1.6.1.jar ezmorph-1.0.3.jar ezmorph-1.0.4.jar fastjson-1.1.40.jar fluent-hc-4.5.6.jar geronimo-annotation_1.0_spec-1.0.jar gradle-announce-2.3-rc-2.jar gradle-antlr-2.3-rc-2.jar gradle-base-services-2.3-rc-2.jar gradle-base-services-groovy-2.3-rc-2.jar gradle-build-comparison-2.3-rc-2.jar gradle-build-init-2.3-rc-2.jar gradle-cli-2.3-rc-2.jar gradle-code-quality-2.3-rc-2.jar gradle-core-2.3-rc-2.jar gradle-cunit-2.3-rc-2.jar gradle-dependency-management-2.3-rc-2.jar gradle-diagnostics-2.3-rc-2.jar gradle-docs-2.3-rc-2.jar gradle-ear-2.3-rc-2.jar gradle-ide-2.3-rc-2.jar gradle-ide-native-2.3-rc-2.jar gradle-ivy-2.3-rc-2.jar gradle-jacoco-2.3-rc-2.jar gradle-javascript-2.3-rc-2.jar gradle-jetty-2.3-rc-2.jar gradle-language-groovy-2.3-rc-2.jar gradle-language-java-2.3-rc-2.jar gradle-language-jvm-2.3-rc-2.jar gradle-language-native-2.3-rc-2.jar gradle-language-scala-2.3-rc-2.jar gradle-launcher-2.3-rc-2.jar gradle-maven-2.3-rc-2.jar gradle-messaging-2.3-rc-2.jar gradle-model-core-2.3-rc-2.jar gradle-model-groovy-2.3-rc-2.jar gra
java序列化_Java 反序列化系列 ysoserial Groovy1
weixin_39913807的博客
11-14 212
0x01 ysoserial简介ysoserial是一款在Github开源的知名java 反序列化利用工具，里面集合了各种java反序列化payload；由于其中部分payload使用到的低版本JDK中的类，所以建议自己私下分析学习时使用低版本JDK JDK版本建议在1.7u21以下。此篇文章为java反序列化系列文章的第一篇Groovy1原理分析，后续会以ysoserial这款工具为...
低代码开发平台：常用动态脚本Groovy
weixin_43841461的博客
09-14 1545
然而，随着 Groovy 在生产环境中的广泛应用，确保代码的安全性成为了至关重要的问题。本文将详细介绍 Groovy 在实际应用中可能遇到的安全问题，并提供具体的代码示例来展示如何避免这些安全风险。通过上述示例可以看出，编写安全的 Groovy 代码需要开发者时刻保持警惕，注意防止各种常见的安全漏洞。合理的输入验证、参数化查询、限制反序列化类、验证文件路径以及严格控制命令输入都是保证代码安全的有效措施。SQL 注入是一种常见的安全威胁，攻击者可以通过操纵 SQL 查询来获取未授权的数据或执行其他命令。
Groovy语言的漏洞扫描
2501_91009297的博客
03-08 855
与Java无缝集成：Groovy代码可以直接调用Java类库，并且Groovy代码可以编译为Java字节码，运行在JVM上。简洁的语法：Groovy的语法比Java更加简洁，减少了样板代码的编写。动态类型：Groovy支持动态类型，变量类型可以在运行时确定。闭包支持：Groovy提供了强大的闭包支持，使得函数式编程更加方便。元编程：Groovy支持元编程，允许在运行时修改类的行为。Groovy作为一种灵活且功能强大的动态编程语言，广泛应用于各种场景。
Groovy语言的安全开发
2501_90587101的博客
02-15 806
Groovy是基于JVM（Java虚拟机）的动态语言，具有简洁的语法和强大的功能。它提供了一种更灵活的编程方式，并且广泛应用于各种项目中。Groovy与Java的紧密集成使得开发者可以在传统Java项目中轻松引入Groovy代码，从而提高开发效率。
【Groovy】json 字符串反序列化 ( 使用 JsonSlurper 进行 json 字符串反序列化 | 根据 map 集合构造相关类 )
让 学习 成为一种 习惯 ( 韩曙亮 の 技术博客 )
02-09 5861
一、使用 JsonSlurper 进行 json 字符串反序列化、 二、根据 map 集合构造相关类、 三、完整代码示例、
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Neolock

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值