rmi 本质是跨 jvm 调用方法，只要对象跨 jvm 传输，就一定会有序列化与反序列化，在 rmi 的 中，服务端，客户端，注册表都有涉及到对象序列化与反序列化的部分，所以三个都可能被攻击，而谁被攻击，主要看谁反序列化了恶意对象

rmi 全称 remote method invocation ，远程方法调用协议，能让一个 jvm 调用另一个 jvm 上的类的方法。

ObjectInputStream.readobject()

ObjectInputStream.readobject()

参考资源:

进入比赛先挑了道简单题上手，一看题目 expolute，附件又是个 js 文件，猜测就是 node.js 原型链污染，md 这比赛怎么感觉好几道原型链污染沙箱逃逸的题目

定义：命令注入（Shell Injection）指攻击者通过向应用提交精心构造的输入，使后端在 OS 层执行未授权的系统命令，从而控制应用/主机或窃取数据。