Java 反序列化攻击

最新推荐文章于 2024-03-04 10:35:35 发布
最新推荐文章于 2024-03-04 10:35:35 发布
阅读量425 收藏
点赞数
分类专栏： java各种知识点总结 文章标签： java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_62571837/article/details/128746751
版权

漏洞由  FoxGlove 的最近的一篇博文爆出，该漏洞可以被黑客利用向服务器上传恶意脚本，或者远程执行命令。

由于目前发现该漏洞存在于 Apache commons-collections， Apache xalan 和 Groovy 包中，也就意味着使用了这些包的服务器(目前发现有WebSphere， WebLogic，JBoss)，第三方框架(Spring，Groovy)，第三方应用(Jenkins)，以及依赖于这些服务器，框架或者直接/间接引用这些包的应用都会受到威胁，这样的应用的数量会以百万计。

说到漏洞存在的原因，根本还在于 Java 序列化自身的缺陷，众所周知，序列化的目的是使 Java 对象转化成字节流，方便存储或者网络上传输。Java 对象分解成字节码过程叫做序列化，从字节码组装成 Java 对象的过程叫做反序列化，这两个过程分别对应于的 writeObject 和 readObject 方法。问题在于 readObject 在利用字节流组装 Java 对象时不会调用构造函数， 也就意味着没有任何类型的检查，用户可以复写 readObject() 方法执行任何希望执行的代码。

这可能会导致三方面问题：

1. 序列化对象修改了对象或者父类的某个未加保护的关键属性，导致未预料的结果。 例如:

最低0.47元/天 解锁文章
C-12king
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
java安全 反序列化(二)
sechelper的博客
12-07 584
java反射，CC6链源码分析，LazyMap利用连，ysoserial工具
【代码扫描修复】不安全的反序列化攻击（高危）_java反序列化漏洞修复
最新发布
2401_83739434的博客
04-14 669
将内存对象转化为可以存储以及传输的二进制字节、xml、json、yaml 等格式。将虚化列存储的二进制字节、xml、json、yaml 等格式的信息重新还原转化为对象实例。数据格式序列化后的信息样例二进制在这里插入图片描述xmljsonyaml!/\*\*\* 白名单校验\*/super(in);@Override// 白名单校验if (!使用示例：Test.java/\*\*\* 序列化\*/try {/\*\*\* 反序列化。
Java反序列化攻击
01-21
Java 反序列化攻击漏洞由FoxGlove 的近的一篇博文爆出，该漏洞可以被黑客利用向服务器上传恶意脚本，或者远程执行命令。 　　由于目前发现该漏洞存在于 Apache commons-collections， Apache xalan 和 Groovy 包中，也意味着使用了这些包的服务器(目前发现有WebSphere， WebLogic，JBoss)，第三方框架(Spring，Groovy)，第三方应用(Jenkins)，以及依赖于这些服务器，框架或者直接/间接引用这些包的应用都会受到威胁，这样的应用的数量会以百万计。 　　说到漏洞存在的原因，根本还在于 Java 序列化自身的缺陷，众
JAVA反序列化漏洞攻守之道
坏蛋呆呆的博客
05-19 1307
1、 什么是反序列化漏洞 序列化就是把对象转成字节流，便于存储在文件、内存、数据中。如ObjectOutputStream中的writeObject()方法。 反序列化是序列化的逆向过程，将字节流还原成对象。如ObjectInputStream类中readObject()方法。 序列化和反序列是让Java对象脱离Java运行环境传输的一种手段，多用于数据传输和存储。在微服务和远程调用大流行的情形下，序列化和反序列化随处可见，漏洞防守也是重中之重。 ...
【代码扫描修复】不安全的反序列化攻击（高危）
ACGkaka的博客
11-07 1372
【代码扫描修复】不安全的反序列化攻击（高危）
【java反序列化】java代码解释什么是反序列化漏洞
wj33333的博客
11-22 412
反序列化漏洞是一种常见的安全漏洞，它出现在对象反序列化的过程中。序列化是将对象转化为可以持久保存或在网络间传输的字节流的过程，而反序列化则是将这些字节流重新转换为对象的过程。如果攻击者能够控制序列化过程，就可以在反序列化过程中执行恶意代码。接口，这意味着它可以被序列化并在网络上传输。但是，当攻击者将自定义的序列化流发送到反序列化函数时，就会引发安全问题。例如，攻击者可以发送一个带有恶意数据的流，然后在其被反序列化时执行恶意代码。
由浅入深剖析序列化攻击（一）
systemino的博客
05-06 614
前言 近期因为内部培训有序列化的需求，于是趁此机会由浅入深的剖析一下序列化相关内容。 之前也写过由浅入深的xml漏洞系列，欢迎阅读： https://skysec.top/2018/08/17/浅析xml及其安全问题/ https://skysec.top/2018/08/18/浅析xml之xinclude-xslt/ 序列化的概念 简单概括来说，序列化即保存对象在内存中的状态，也可以...
Java反序列化实战.pdf
08-08
本议题将从那些经典案例入手，分析攻击方和防御方的对抗过程。会从fastjson与weblogic的两个经典漏洞，带大家傲游反序列化的世界。 反序列化入门 Fastjson Weblogic 反序列化防御
SerialKiller：Java反序列化前瞻性库
02-05
连环杀手 SerialKiller是一个易于使用的前瞻性Java反序列化库，用于保护应用程序免受不受信任的输入的侵害。 当使用Java序列化在客户端和服务器之间交换信息时，攻击者可以用恶意... 用SerialKiller替换反序列化Obj
after-deserialization-attack:Java反反序列化攻击
05-13
After-Deserialization-Attack
Java JDBC导致的反序列化攻击原理解析
08-25
主要介绍了Java JDBC导致的反序列化攻击原理解析,文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值,需要的朋友可以参考下
java攻击_【技术分享】如何攻击Java反序列化过程
weixin_29229261的博客
02-12 361
预估稿费：200RMB投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿一、前言现在反序列化(deserialization)漏洞早已不是新鲜事物(如这几处参考资料[1][2][3][4])，但与其他类别漏洞相比，反序列化漏洞的利用过程涉及更多方面的因素。在应邀对客户进行渗透测试时，我成功利用Java反序列化漏洞获得了某台服务器的权限，利用这台服务器，我获得了数十台服务器的roo...
Java序列化攻击和最佳实践
KDLin‘s Blog
04-29 473
85. 其他序列化优于Java序列化 Java序列化机制很危险，在新编写的系统中，没有理由再使用Java序列化，应该使用其他序列化机制，例如跨平台的JSON序列化；尤其不要反序列化任何不信任的数据，因为容易遭受序列化攻击。 原因在于，反序列化不被信任的数据，容易受到序列化攻击，例如远程代码执行（RCE），拒绝服务（DoS）等等。研究人员可以基于Java序列化机制开发出很多巧妙的攻击片段。例如： public class BombSerializable { public static void
反序列化漏洞原理、成因、危害、攻击、防护、修复方法
白帽子凯哥聊黑客
12-23 3730
首先，我们定义一个简单的Java类，该类具有可序列化的属性。// 标准的getter和setter方法 public String getUsername() {} }// 标准的getter和setter方法 public String getUsername() {} }// 标准的getter和setter方法。
java反序列化-RMI
weixin_40151476的博客
03-04 832
RMI（Remote Method Invocation），远程方法调用。跟RPC差不多，是java独立实现的一种机制。实际上就是在一个java虚拟机上调用另一个java虚拟机的对象上的方法。RMI依赖的通信协议为JRMP(Java Remote Message Protocol ，Java 远程消息交换协议)，该协议为Java定制，要求服务端与客户端都为Java编写。这个协议就像HTTP协议一样，规定了客户端和服务端通信要满足的规范。（我们可以再之后数据包中看到该协议特征）。
6-java安全——java反序列化漏洞利用链
网络安全
07-01 3917
本篇将学习java反序列化漏洞原理，然后结合一个apache commons-collections组件反序列化漏洞来学习如何构造利用链。 我们知道序列化操作主要是由ObjectOutputStream类的 writeObject()方法来完成，反序列化操作主要是由ObjectInputStream类的readObject()方法来完成。当可序列化对象重写了readObject方法后，在反序列化时一般会调用序列化对象的readObject方法。 在Student类中重写ObjectInputSt
Java代码审计之XSS攻击
tpaer的博客
12-07 1543
以代码实例复现Java中的XSS攻击，并给出修复建议。
Java中的10种方法防止XSS攻击
qq_28245087的博客
06-29 9814
这些方法包括输入验证和过滤、安全的HTML和URL编码、Content Security Policy（CSP）的使用、安全的模板引擎和富文本编辑器、用户输入的验证和限制、安全的Cookie设置以及防止跨站点请求伪造（CSRF）。通过实施这些方法，可以降低XSS攻击的风险，保护应用程序和用户的数据安全。通过使用安全的Cookie设置，您可以增加Web应用程序的安全性，保护用户的身份验证和敏感信息免受攻击和滥用。通过验证和限制用户输入，您可以增加应用程序的安全性和可靠性，防止潜在的安全漏洞和错误数据的影响。
Fastjson反序列化漏洞(1.2.24 RCE)
m0_61506558的博客
09-13 2971
Fastjson是一个JSON工具库,它的作用就是把java对象转换为json形式，也可以用来将json转换为java对象。@type引入这个功能的目的是在序列化的时候防止子类中包含接口或抽象类的时候，类型丢失，这样我们在反序列化的时候就不需要再指定类名。
java反序列化攻击
10-05
Java反序列化攻击是一种安全漏洞，攻击者可以通过操纵反序列化过程中的输入数据，来执行未授权的操作。攻击者可以通过修改被序列化的对象的内容，或者创建恶意的序列化数据，来导致代码执行、远程命令执行、上传恶意...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值