XMLDecoder反序列化
基础知识
就简单讲讲吧，就是为了解析xml内容的
一般我们的xml都是标签属性这样的写法
比如person对象以xml的形式存储在文件中
在decode反序列化方法后，控制台成功打印出反序列化的对象。
就是可以根据我们的标签识别是什么成分的
漏洞原因
我们有些xml标签有特殊的作用
object标签的使用相当于new一个新对象，其中的string标签为构造方法需要的参数。
<object class="javax.swing.JButton"><string>Press me</string>
</object>new JButton("Press me");
void标签的method属性可以在反序列化的过程中自动执行，其中的string标签为方法调用的参数。
<object class="javax.swing.JButton"><string>Press me</string><void method="setName"><string>Greeting</string></void>
</object>JButton button1 = new JButton("Press me");
button1.setName("Greeting");
其实有了上面的这些标签，我们就能够执行命令了
漏洞演示
使用网上找到POC，其中object反序列化类为java.lang.ProcessBuilder，构造方法参数为calc（windows操作系统上的计算器程序），void标签声明了反序列化过程中调用的方法为start方法。
就可以实例化我们的ProcessBuilder，调用它的start方法，然后传入calc参数
总结
因为比较简单，自己也没有去复现一下怎么的，也没有去调试，其实调试就是调试对标签的解析过程
参考https://www.freebuf.com/articles/web/321222.html
的解析过程
参考https://www.freebuf.com/articles/web/321222.html
图片都是用的这个链接的
