Intellij IDEA调试ysoserial等Java项目的方法

2019-03-30 21:35:35 3 503

用Intellij IDEA调试Java项目是研究Java安全的必备技能点,之前在其他地方分享过相关方法,这次在土司也分享一下,省点复活币 。

https://github.com/frohoff/ysoserial 为例,下载源码,然后用Intellij IDEA打开。如果这个项目里面包含了pom.xml文件,说明这个是用maven打包的项目,这时候Intelliy IDEA会自动根据其中的配置下载依赖。如果依赖有问题,你可以手工点击菜单里的Files - Project Structure,然后配置Libraries:

依赖弄好了,我们需要干一件事,就是找找整个项目里有哪些入口点(其实就是主类和main函数)。这个其实可以在maven的配置文件里找到,比如ysoserial的主类在这里配置的:

maven-assembly-plugin就是一个用来打包项目的插件,可以把依赖、类文件什么的都打包在一起。这里的mainClass的值是ysoserial.GeneratePayload,这个就是主类。

根据这个配置,打开文件src/main/java/ysoserial/GeneratePayload.java,看到其中的main函数了吗,如图1。点左边的小箭头,里面有个debug,这就是调试了。

点击之后发现下面只会打印usage,因为你这会没加任何参数。所以,我们打开Debug Configurations:

修改Program arguments,加上运行时的命令行参数即可:

调试,可见我在CommonsCollections1这个gadget的代码里下拉个断点,这里已经成功断下,command的值是id:

调试任何Java的项目其实都大同小异,找主类,然后设置运行的参数,点击debug的按钮,调试就开始了。之后按F8是单步运行,F7是进入函数内部单步运行,一步步地跟进,就能够分析与挖掘漏洞了。

TCV:0

关于作者

评论3次

要评论?请先  登录  或  注册