初识Java反序列化

最新推荐文章于 2024-09-09 03:48:04 发布

Java可可

最新推荐文章于 2024-09-09 03:48:04 发布

阅读量1.6k

点赞数 1

分类专栏： Java 程序员编程文章标签： java 开发语言

本文链接：https://blog.csdn.net/m0_71563599/article/details/125120904

版权

本文介绍了Java序列化和反序列化的基本概念、字节序列数据格式、用途及常见使用场景。特别讨论了反序列化命令执行漏洞的原理，强调了当对象的readObject方法重写并存在安全问题时，可能导致执行系统命令的安全风险。

摘要由CSDN通过智能技术生成

前言

研究某产品反序列化EXP时，搜集到的POC只有一段16进制字节序列难以利用，遂有下文对Java序列化和反序列化的学习。

大致内容如下：

序列化和反序列化示例
序列化数据组成解构
反序列化漏洞形成原理

序列化和反序列化

序列化：将程序运行时所需要的Java对象转化为字节序列并存储在文件系统中，一般为.ser后缀的文件，ObjectOutputStream.writeObject()方法可以将对象序列化。

反序列化：将存储在文件系统的字节序列转化成对象供程序使用，ObjectInputStream.readObject()方法可以将字节序列转化成对象。

可序列化的类必须继承 java.io.Serializable；序列化机制使对象得以脱离程序之外独立存在。

示列：

Employ.java

import java.io.Serializable;


 //该类必须实现java.io.Serializable
public class Employ implements Serializable { 
    public String name;
    public int age;
}

test.java

import java.io.FileOutputStream;
import java.io.IOException;
import java.io.ObjectOutputStream;

public class test {

    public static void main(String[] args) {
        //将e转化为字节序列存储于/tmp/1.ser
        Employ e = new Employ();
        e.name = "zhangyida";
        e.age = 15;
        try {
            FileOutputStream fops = new FileOutputStream("/tmp/1.ser");
            ObjectOutputStream obos = new ObjectOutputStream(fops);
            obos.writeObject(e);
            obos.close();
            System.out.prin