利用sun.misc.Unsafe实现一次类混淆(Type Confusion)

unsafe是jdk里面非常有意思的函数，不仅仅是名字。具体功能大家可以搜一下看看，简单来说就是，这个类提供了直接操作硬件的方法。
我这边简单利用unsafe的putObject方法，实现一次类混淆，有点儿意思。
代码如下:
Dingo.java : （作用是跑一个计算器）

package ding.yang.controller;

import java.io.IOException;
import java.io.Serializable;

public class Dingo implements Serializable {

    /**
     *
     */
    private static final long serialVersionUID = 1L;

    public void fuck() {
        ProcessBuilder pb = new ProcessBuilder("calc");
        try {
            pb.start();
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

Yang.java: （作用是跑一个记事本）

package ding.yang.controller;

import java.io.IOException;
import java.io.Serializable;

public class Yang implements Serializable {

    /**
     *
     */
    private static final long serialVersionUID = 1L;

    public void fuck() {
        ProcessBuilder pb = new ProcessBuilder("notepad");
        try {
            pb.start();
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

Hello.java：

package ding.yang.controller;

public class Hello {

    public Dingo dingo;

    public Hello(Dingo dingo){
        this.dingo  = dingo;
    }

}

接着利用putObject，将hello.java类中的dingo这个field，替换为yang.java

 package ding.yang.controller;

import java.io.IOException;
import java.lang.reflect.Field;
import java.security.AllPermission;
import java.security.ProtectionDomain;

import sun.misc.Unsafe;

public class TestUnsafe {

    public static void main(String[] avgs) throws NoSuchFieldException,
            SecurityException, IllegalArgumentException,
            IllegalAccessException, IOException {

        // 获取unsafe 的实例
        Field theUnsafe = Unsafe.class.getDeclaredField("theUnsafe");
        theUnsafe.setAccessible(true);
        Unsafe unsafe = (Unsafe) theUnsafe.get(null);

        Hello hello = new Hello(new Dingo());
        Yang yang = new Yang();
        Field f = hello.getClass().getDeclaredField("dingo");
        unsafe.putObject(hello, unsafe.objectFieldOffset(f), yang);
        hello.dingo.fuck();               // 这里是弹计算器呢还是记事本呢？

    }
}

总结：
1、上述代码最后是弹出了记事本，因为我们采用直接操作内存对象的方式，将hello类中的dingo对象，替换成了yang对象。
2、还有一个需要注意的点是，unsafe实例并不能直接获取，因为在unsafe中，判断了当前的classloader如果不是null，也就是root的classloader，会抛出一个securityexception异常，所以我们利用反射的方式，将private置为public，然后获取
3、上述代码当然只能在trust code环境里面运行了。