JAVA反序列化漏洞

JAVA反序列化漏洞

原文资料 :xiu--》xiu博客

文章目录

idea

类继承

复制代码
public class Person {
    public int age;
    public String name;
    public void talk(){
    System.out.println("Person 说话了");
}
public class Student extends Person{
    public int score;
    public void talk(){
    System.out.println("Student说话了");
}
public class Test {
    public static void main (String[] args) {
    Student stul = new Student();
    stul.talk();
}

数据前五个字节

rO0AB java序列化base64编码数据

aced 16进制java序列化

复制代码
序列化:
ObjectOutputStream --> writeObject()
反序列化: 
ObjectInputStream --> readObject()  

反序列化漏洞

person类
复制代码
import java.io.I0Exception;
import java.io.0bjectInputStream;
import java.io.Serializable;

public classPerson implements Serializable {

    public int age;
    public String name;
    private void readobject (ObjectInputStream in)throws IOException, ClassNotFoundException {

    Runtime.getRuntime().exec("calc");
    // 默认的反序列化操作
    in.defaultReadObject();
    }
}
Test类
复制代码
import java.io.*;

public class Test {
    public static void main (String[] args) throws IOException,  ClassNotFoundException {
   
        Person p=new Person();
        p.age=18;
        p.name="xiu";
        serialize (p,"xiu.bin");
        System.out.println("反序列化结果:"+
        deserialize("xiu.bin"));
     }
     
    public static void serialize (Object obj, string filePath) throws IOException {
    
        try ( FileOutputStream file0ut = new File0utputStream(filePath);
        	  Object0utputStream objectOut = new Object0utputStream(fileOut)
        	){ objectOut.write0bject(obj);}
    }
    
    public static Object deserialize(String filePath) throws IOException, ClassNotFoundException {
    try (FileInputstream fileIn = new FileInputstream(filePath);
        ObjectInputstream objectIn = new ObjectInputstream(fileIn)) {
            return objectIn.read0bject();
        }
    }
}

什么是反序列化漏洞

PHP的反序列化和java的反序列化是两种不同的类型,序列化和反序列化本身没有漏洞点,只是为了实现数据的完整高效的传输,

PHP反序列漏洞是由于类里面的魔术方法调用了某个函数,该危险函数又调用了别的函数,最终执行到了危险函数的位置

JAVA反序列化漏洞是由于开发者重写了readObject方法,该readObject方法方法调用了别的方法,最终执行到了例如Transfrom方法的危险方法

相关推荐
我真的是大笨蛋2 小时前
K8S-Pod(下)
java·笔记·云原生·容器·kubernetes
碳水加碳水2 小时前
Java代码审计实战:XML外部实体注入(XXE)深度解析
java·安全·web安全·代码审计
努力也学不会java3 小时前
【设计模式】 原型模式
java·设计模式·原型模式
方渐鸿4 小时前
【2024】k8s集群 图文详细 部署安装使用(两万字)
java·运维·容器·kubernetes·k8s·运维开发·持续部署
晓衣4 小时前
2025“獬豸杯”全国电子数据取证竞赛-k8s服务器取证wp
服务器·经验分享·程序人生·网络安全·容器·kubernetes·学习方法
学亮编程手记4 小时前
K8S v1.33 版本主要新特性介绍
java·容器·kubernetes
Haven-5 小时前
Java-面试八股文-JVM篇
java·jvm·面试
我真的是大笨蛋5 小时前
JVM调优总结
java·jvm·数据库·redis·缓存·性能优化·系统架构
wjs0405 小时前
Git常用的命令
java·git·gitlab
superlls5 小时前
(算法 哈希表)【LeetCode 349】两个数组的交集 思路笔记自留
java·数据结构·算法