本仓库包含我在演讲中展示的概念验证漏洞利用：
在 JVM 上利用任意类加载
如果你感兴趣，可以在这里观看：Youtube
该漏洞利用针对 CVE-2024-24824（幻灯片中有一处小拼写错误），这是一个影响 Graylog 2.0.0 至 5.2.3 版本的任意类加载漏洞。
这项研究没有将任意类加载视为最终目标，而是通过分析可用的 JVM 类路径，探讨如何滥用该原语来发现并构建越来越强大的漏洞利用技术。
如果能够使用攻击者控制的数据实例化任意类，那么挑战就变成了：
我们到底能用它做什么？
答案完全取决于目标应用程序类路径中存在哪些类。
随附的研究探讨了如何将任意类加载原语转化为多种漏洞利用原语，包括：
本仓库专注于演讲中演示的远程代码执行漏洞利用。
以下是在易受攻击的实例上运行该漏洞利用的预期结果：
exploit/
exploit source
docs/
slides
随附的演讲从头到尾逐步讲解了漏洞利用过程：
其目标是展示漏洞利用开发背后的思考过程，而不仅仅是直接抛出一个漏洞利用。
此代码仅供教育目的、安全研究和经授权的安全测试使用。
仅测试你拥有或已获得明确评估许可的系统。