java代码审计之反序列化（代码执行）

最新推荐文章于 2024-06-01 11:55:53 发布

hu4wufu

最新推荐文章于 2024-06-01 11:55:53 发布

阅读量538

点赞数

分类专栏： java代码审计

本文链接：https://blog.csdn.net/Candyys/article/details/105958960

版权

本文探讨了Java反序列化的过程及其安全风险，包括如何通过构造恶意输入执行任意代码。介绍了需要满足的序列化条件，并提供了一个漏洞示例，涉及可能被利用的第三方库如commons-collections和commons-fileupload。审计策略涵盖HTTP、RMI和JMX场景，建议通过查找readObject调用和网络抓包来识别反序列化输入点。同时，提出了修复方案，包括使用白名单校验反序列化类或通过Hook函数resolveClass进行控制。

摘要由CSDN通过智能技术生成

概述

序列化是让 Java 对象脱离 Java 运行环境的一种手段，可以有效的实现多平台之间的通信、对象持久化存储。只有实现了 Serializable 和 Externalizable 接口的类的对象才能被序列化。
Java 程序使用 ObjectInputStream 对象的 readObject 方法将反序列化数据转换为 java 对象。但当输入的反序列化的数据可被用户控制，那么攻击者即可通过构造恶意输入，让反序列化产生非预期的对象，在此过程中执行构造的任意代码。

前提

一个类的对象要想序列化成功，必须满足两个条件：

该类必须实现 java.io.Serializable 接口。

该类的所有属性必须是可序列化的。如果有一个属性不是可序列化的，则该属性必须注明是短暂的。

如果你想知道一个 Java 标准类是否是可序列化的，可以通过查看该类的文档,查看该类有没有实现 java.io.Serializable接口。

漏洞示例

......
//读取输入流,并转换对象
InputStream in=request.getInputStream();
ObjectInputStream ois = new ObjectInputStream(in);
//恢复对象
ois.readObject();
ois.close();

上述代码中，程序读取输入流并将其反序列化为对象。此时可查看项目工程中是否引入可利用的
com