反序列化详解

什么是序列化和反序列化？

        序列化：将这些在程序内存中的对象转换成一种具有代表性的数据字节流，由对象转换得到字节流的过程，就是序列化。

        反序列化：而对于获取序列化数据的一方，需要从这些字节流里还原得到对应的对象状态信息，由字节流转换得到对象的过程，就是反序列化。

反序列化漏洞原理

        反序列化漏洞就是指当目标程序对攻击者可控的数据进行反序列化处理时产生的安全问题。

Apache Shiro 1.2.4反序列化漏洞

Apache Shiro描述

        Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。使用Shiro的易于理解的API，可以快速、轻松地获得任何应用程序,从最小的移动应用程序到最大的网络和企业应用程序。

漏洞影响

Apache Shiro <=1.2.4

Shiro反序列化漏洞原理

        AES加密的密钥Key被硬编码在代码里，Shiro是开源软件，意味着每个人通过源代码都能拿到AES加密的密钥。因此，攻击者构造一个恶意的对象，并且对其序列化，AES加密，base64编码后，作为cookie的rememberMe字段发送。Shiro将rememberMe进行解密并且反序列化，最终造成反序列化漏洞

Shiro服务器识别身份加解密处理的流程

（1）加密

1.用户使用账号密码进行登录，并勾选"Remember Me"。

2、Shiro验证用户登录信息，通过后，查看用户是否勾选了”Remember Me“。

3、若勾选，则将用户身份序列化，并将序列化后的内容进行AES加密，再使用base64编码。

4、最后将处理好的内容放于cookie中的rememberMe字段。

（2）解密

1、当服务端收到来自未经身份验证的用户的请求时，会在客户端发送请求中的cookie中获取rememberMe字段内容。

2、将获取到的rememberMe字段进行base64解码，再使用AES解密。

3、最后将解密的内容进行反序列化，获取到用户身份。

漏洞特征

        返回包中存在 rememberMe=deleteMe 字段

Fastjson反序列化漏洞原理

        使用AutoType功能进行序列号的JSON字符会带有一个@type来标记其字符的原始类型，在反序列化的时候会读取这个@type，来试图把JSON内容反序列化到对象，并且会调用这个库的setter或者getter方法，然而，@type的类有可能被恶意构造，只需要合理构造一个JSON，使用@type指定一个想要的攻击类库就可以实现攻击。

Weblogic反序列化漏洞原理

        当WebLogic服务器接收到一个包含恶意序列化对象的请求时，服务器会尝试将该对象反序列化为一个实例。由于缺乏有效的输入验证和安全控制，攻击者可以构造恶意序列化对象，触发服务器执行恶意代码。