理解反序列化漏洞原理

反序列化漏洞一直搞不明白，所以今天特意翻出很久未动的java，学习了一下序列化。

简单来说，序列化可以理解为就是将对象转化为字节流，字节流中包括这个对象的数据和信息，序列化和反序列化便于类的持久保存，并且很利于网络传输。在面向对象的编程中，都会涉及到序列化和反序列化，像java中，有一个接口Serializable，用来实现java序列化，php中也有Serializable方法来实现php序列化。这里我写了一个java的序列化。

下面是一个student类，为实现序列化，需要继承Serializable接口

import java.io.Serializable;

public class student implements Serializable {
    private String name;
    private String age;

    public void setAge(String age) {
        this.age = age;
    }

    public void setName(String name) {
        this.name = name;
    }

}

然后我在main函数中实现序列化。通过流，将一个名为s的student类 序列化，并将其存到Student.ser文件中

import java.io.FileNotFoundException;
import java.io.FileOutputStream;
import java.io.IOException;
import java.io.ObjectOutputStream;

public class run {
    public static void main(String[] args) {
        student s = new student();
        s.setAge("21");
        s.setName("Hileaf");
        try {
            FileOutputStream fileOut = new FileOutputStream("Student.ser");
            ObjectOutputStream out = new ObjectOutputStream(fileOut);
            out.writeObject(s);
            out.close();
            fileOut.close();

        } catch (FileNotFoundException e) {
            e.printStackTrace();
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

运行后，序列化过的s如下：

我们不用关心乱码。我们这里把字节流存入到ser文件中，并且，这条字节流也可以保存在内存、数据库中。
而反序列化，就是通过这条字节流的数据和信息，将它还原成一个类。这里我们字节流没有任何过滤，也就是说，我们在new一个新的类时，内容是用户可控的，即字节流就是用户可控的。
那么这样，就容易理解反序列化漏洞了。

如果Java应用对用户输入（即不可信数据）做了反序列化处理，那么攻击者可以通过构造恶意输入，让反序列化产生非预期的类或对象，这个类或对象在产生过程中就有可能带来任意代码执行。
所以这个问题的根源在于，字节流进行还原时，即用到ObjectInputStream在反序列化时，没有对生成的对象的类型做限制。 这就是java反序列化漏洞的原理，php和Python也基本相同。