Java代码审计文档

这套资料的名字起得朴素——「Java代码审计文档」，但真正翻过一遍就会发现，它其实是一份围绕 Java 安全漫谈系列整理出来的专题文档，核心分量压在 RMI 与反序列化两条线上。如果你的收藏夹里已经躺着几份「Java 安全学习路线」却一直没拆封，这份材料的价值不在于它有多全，而在于它把最容易被泛泛带过的那几个议题讲到了能动手的程度。

课纲的重心：反序列化才是主线

从篇目分布就能读出编者的取舍。RMI 只占了一篇，反序列化却连续铺开好几篇，中间还插了一篇专门讲用 TransformedMap 编写真正的 POC。这个结构不是凑数，而是有明确指向的：Java 反序列化漏洞的难点从来不是「知道有 readObject」这一层，而是从 gadget 链的组装，到 AnnotationInvocationHandler、TransformedMap 这类经典入口的调用路径，再到把 PoC 从「能触发」打磨到「稳定可用」。文档把这条链路拆成若干篇推进，说明它默认读者是要跟着敲、跟着调的，而不是读个概念就走。

哪些章节值得精看

• RMI 篇：篇幅不多但位置关键。RMI 在真实代码审计里出现的频率不低，而且是理解后续反序列化触发场景的前置背景，建议不要跳过。重点看它怎么把远程调用与序列化机制挂上钩。
• 反序列化系列的前两篇：建立基本模型的部分，适合用来校准自己的理解是否准确，尤其是对象构造、字节流还原这条主线上容易含糊的地方。
• TransformedMap 那篇：单篇体量明显更大，是整套资料里最「手把手」的一段。它讲的是如何从零拼出一个真正能跑的 POC，这一步跨过去，后面看别的 gadget 链会顺很多。
• 反序列化后续几篇：偏向具体链路与变换用法的延伸，适合在完成前一篇之后立刻接上练手，趁热打铁。

这份资料包怎么拆开用

文档型资料最怕当成电子书从头读到尾，结果读完什么都没留下。更现实的用法是把它当任务清单来推进：先花时间把 RMI 的概念吃透，形成「远程调用会经过序列化」这个直觉；然后进入反序列化主线，每读完一篇就自己在本地环境里复现一次，哪怕只是把对象序列化再反序列化、观察调用栈的变化，也比干看强。TransformedMap 那篇尤其要动手，POC 写不通的地方往往就是理解断掉的地方，报错信息比任何讲解都直接。

另外提醒一点：反序列化相关的链路在不同 JDK 版本、不同依赖版本下表现差别很大。文档给的是思路和构造方法，具体能不能打通，取决于你自己搭的环境。别因为某一步复现失败就怀疑材料，先去核对版本约束，这本身就是代码审计里绕不开的基本功。

适合谁，不适合谁

如果你已经有 Java 基础，能看懂反射和对象构造，又想从「会用工具扫漏洞」往「能读懂漏洞成因、能自己写验证代码」走一步，这份文档是合适的切入点，它的密度刚好卡在概念与实战之间。但如果你连 Java 的类加载、反射调用都还没摸熟，直接上手反序列化篇会比较吃力，建议先把反射相关的基础补上再回来。它不提供完整的审计方法论，也不覆盖 SQL 注入、SSRF 这类更宽的面，它是把 RMI 和反序列化这两块啃深，别指望它包打天下。