如何通过执行 log4j 注入来执行远程代码 [关闭]

Question

最新的 log4j 问题定义了可以进行日志注入远程代码执行，例如 JNDI。

但我的问题是如何在不知道类定义的情况下在其他机器上序列化对象执行（通过反序列化）？

Answer 1

当 dserialisation 发生时，JVM 会将该类加载到内存中。 在类加载时，Java 类加载器会查找所有静态字段和静态块，因此如果该类中存在任何static block，它将被执行。