java反序列化漏洞(入门)

java序列化和反序列化的概念：

序列化：把Java对象转换为字节流的过程。

反序列化：把字节流恢复为Java对象的过程。

 

对象的序列化主要有两种用途：

把对象的字节序列永久地保存到硬盘上，通常存放在一个文件中:（持久化对象）

在网络上传送对象的字节序列:（网络传输对象）

序列化函数接口：

Java： Serializable Externalizable接口、fastjson、jackson、gson、ObjectInputStream.read、

ObjectObjectInputStream.readUnshared、XMLDecoder.read、ObjectYaml.loadXStream.fromXML、

ObjectMapper.readValue、JSON.parseObject等

PHP： serialize()、 unserialize() 

Python：pickle

java序列化特征：

1、java序列化功能特性：

         反序列化操作一般应用在导入模板文件、网络通信、数据传输、日志格式化存储、对象数据落磁盘、或DB存储等业务场景。因此审计过程中重点关注这些功能板块。

 

2、java序列化数据特性：

         一段数据以rO0AB开头，你基本可以确定这串就是JAVA序列化base64加密的数据。

或者如果以aced开头，那么他就是这一段java序列化的16进制。

 

3、java序列化出现具体位置：

        http参数，cookie，sesion，存储方式可能是base64(rO0），压缩后的base64(H4s),MII等Servlets http,Sockets,Session管理器，包含的协议就包括：JMX,RMI,JMS,JND1等(\xac\Xed) xm lXstream,XmldEcoder等（http Body