序列化与反序列化

agrilly

已于 2023-06-30 11:51:04 修改

阅读量99

点赞数 2

文章标签： java php

于 2023-06-27 21:02:48 首次发布

本文链接：https://blog.csdn.net/agrilly/article/details/131420943

版权

1、PHP反序列化漏洞的成因

2、java类继承

3、java方法的重写

4、编写JAVA反序列化的代码实现序列化与反序列化

5、重写readObject方法调用计算器，实现反序列化漏洞的原理

1、PHP反序列化漏洞的成因

序列化与反序列化是为了数据在网上传递的完整性，但是被攻击者找到了漏洞，接下来介绍漏洞。

反序列化的时候会调用方法，魔术方法（魔术方法是php语言里代码执行自动调用的方法，例如construct（）、destruct（）），预先在类里定义好的魔术方法会自动调用，这些被调用的魔术方法会调用别的方法（危险方法，例如system）最终实现链式调用。

2、java类继承

public为Java里的关键字，public定义为公开，person为一个类，类里面可以有变量、函数等等。在类里被关键字static修饰的函数不能被继承，这是static关键字的作用。

stu为继承person的子类，继承需要使用关键字extends，继承后stu类可以使用父类里定义的变量、函数（除被static关键字修饰的变量、函数）

在main函数中定义变量

3、java方法的重写

重写：父类本身有speak（）方法，子类可以自己写一个具有子类特点的speak()方法：

父类person代码不变，子类stu代码如下。重写是为了实现子类的独特性，子类不可能与父类有完全相同的特性。

main函数代码也不变

输出stu speak具有stu类的特点，重写成功。

4、编写JAVA反序列化的代码实现序列化与反序列化

序列化：ObjectOutputStream 类--> writeObject()函数
反序列化:ObjectInputStream类 --> readObject()函数

implement在java中为接口，throws为java中抛出异常

序列化代码：使用writeObject()函数

    public static void serialize(Object obj, String filePath) throws IOException {
        try (FileOutputStream fileOut = new FileOutputStream(filePath);
             ObjectOutputStream objectOut = new ObjectOutputStream(fileOut)) {
            objectOut.writeObject(obj);
        }
    }

反序列化代码，使用 readObject()函数

public static Object deserialize(String filePath) throws IOException, ClassNotFoundException {
        try (FileInputStream fileIn = new FileInputStream(filePath);
             ObjectInputStream objectIn = new ObjectInputStream(fileIn)) {
            return objectIn.readObject();
        }
    }

Usr类中定义了两个变量name、age