Web进阶漏洞-------JAVA反序列化(1)

• 反序列化定义

Java 中对象的序列化就是将对象转换成二进制序列
使用ObjectOutputStream的**writeObject()**方法实现序列化

反序列化则是将二进制序列转换成对象。
使用ObjectOutputStream的**readbject()**实现反序列化

• 为什么要进行反序列化？

举个例子，我们在淘宝上订购了一个书桌，商家不可能把整个桌子都通过物流公司发送到顾客家中。桌子要被分解为众多部分，以散件的形式发送到顾客的手上。

序列化条件
类中必须实现java.io中Serializable接口才能被反序列化
transient关键字修饰的变量不进行序列化

try{
 FileOutputStream test =new FileOutputStream("test.obj");
 ObjectOutputStream test123 =new ObjectOutputStream(test);
test123,writeObject(user);//user是之前定义的对象
}catch (IO Exception e){
e.printStack Trace();
}

aced 0005 7372

aced:java反序列化标志

0005：java反序列化版本号

73：表示是一个object

72：表示从当前开始对类的描述

················································

- 反序列化工具

Serialization Dumper
将字节序列转成易读形式工具
java -jar SerializationDumper-v1.1.jar aced000573720026636e2e656d61792e…

ysoserial
Java反序列化漏洞payload生成工具
java -jar ysoserial -[version] -all.jar [payload] ‘[command]’ 例如 URLDNS “http://xxx.com.net”
CommonsCollection1

GadgetProbe
通过DNS盲打识别远程服务器calsspath上的类，库和库版本
serialVersionUID

serialVersionUID实在JAVA序列化，反序列化都起作用的一个字段
JAVA的序列化机制是通过判断类的SerialVersionUID来验证一致性
在进行反序列时，JVM会把传来的字节流中的serialVersionUID与对应类的serialVersionUID进行比较，如果一致，则进行反序列化，否则就会出现异常。

漏洞原理
Source 接受不信任的数据进行反序列化
Sink 可利用的Gadget Chains [payload]

易受攻击协议：
RMI
JMX
JMS
AMF
Weblogic T3
Customer Application protocal

易受攻击组件：
Weblogic
JBoss
Shiro
WebSphere
Fastjson
Jenkins
JSF ViewState