在反序列化的学习过程中总是不可回避碰到这个点，这次就来简单看看。

这篇文章主要目的在于学习前人文章，并从更深入一点的角度探讨为什么Runtime.getRuntime().exec某些时候会失效这个问题。

Hessian是一个轻量级的remotingonhttp工具，使用简单的方法提供了RMI的功能

JNI是Java Native Interface的缩写，利用它可以在比较底层的位置执行命令。

故事的起因是学弟来问我为什么在调Commons Collections5的时候，还没有走到触发点就触发了RCE。

过程比较简单，属于一篇水文

In the wordpress xmlrpc.php pingback_ping function, the domain which be passed in was parsed three times.

thinkphp 反序列化系列gadget 复现 草稿

s2-001 代码分析

fastjson用于将Java Bean序列化为JSON字符串,也可以从JSON字符串反序列化到JavaBean。