本文主要介绍一下 JEP 290 这个特性，分析它是如何保护 RMI 免受反序列化攻击的，以及有哪些方法可以绕过 JEP 290 对 RMI 进行反序列化攻击。

Fastjson 是 alibaba 的一款开源 JSON 解析库，可以将 Java 对象和 JSON 字符串相互转化，并提供了 autotype 机制让使用者可以解析任意 Java 对象，导致一些存在利用点的类被用来进行反序列化攻击。

Hibernate 是 Java 的一个对象关系映射(ORM)框架，使用 GNU 开源协议。该利用链以 HashMap 为入口点，通过 hibernate-core 包中的多个类及其方法构成调用路径，最终执行事先写入到 TemplatesImpl 类中的命令。

最近想要加强一下自己的代码能力和漏洞分析能力，于是想到学习 ysoserial 的代码。文章主要记录自己调试的过程，理清利用链的思路，对一些基础知识不会做过多解释。