反序列化

一个公开密钥放倒一片：Apache Shiro RememberMe 反序列化漏洞Apache Shiro 的【记住我】功能会把身份信息序列化后 AES 加密存进 Cookie。问题是早期版本把加密密钥硬编码在了源码里，而且密钥是公开的——攻击者用这个密钥加密任意反序列化数据塞进 Cookie，服务端解密后直接反序列化，命令就执行了。这篇讲透 Shiro 反序列化的原理、指纹识别、密钥问题和利用思路。

其实防守也摸鱼

Fastjson 反序列化漏洞（JNDI注入）指纹识别 -> 漏洞探测 -> 搭建攻击环境 -> 构造 Payload -> RCE 提权我们这次做的是一个非常经典的 Fastjson 反序列化漏洞（JNDI 注入）的利用。整个流程就像一场精心策划的“特洛伊木马”行动：

Fastjson 漏洞 · 01 · 认识 Fastjson 与序列化基础先看一段真实、且几乎每个 Java 后端都写过的代码：如果 body 被换成下面这样：服务器就可能在"解析 JSON"这一步去连接攻击者的服务器、下载并执行代码。一个普通请求参数，直接变成服务器权限。这不是魔术，而是"反序列化 + 自动类型识别（autoType）"这套设计的必然结果——本篇先把这条因果讲透，而不是一上来就背 payload。

对于ProtoBuffer：ProtoBuffer的介绍以及安装hello 大家，那么在我们之前编写我们的自定义协议时，就提到了序列化和反序列化的概念，大家要是有忘记的可以看一下这篇博客

【Linux网络加餐】（篇六）网络版计算器（上）：模板方法模式、序列化与 JSON之前咱们写了一个网络版的命令执行器：客户端发命令，服务端 fork 出进程执行，把结果通过管道倒腾回来再发给客户端。那节课的重点是把一个 TCP 服务器的骨架跑通。

PHP Session 反序列化（2）：漏洞根因 —— 序列化处理器错位与对象注入本文为教学用途，所有复现均在作者自建靶场内完成。请勿在未授权的情况下对真实系统进行测试。根据《网络安全法》，未经授权测试、攻击他人系统属于违法犯罪行为。禁止复制本文Payload 对外部站点进行测试，违规使用造成的一切后果由使用者自行负责。

php反序列化一（大白话版）我们直接看题。CTF（网络安全夺旗赛）里的"签到题"，就是给新手送分的那种。源码长这样：一堆代码，一个flag，看着头大。但别被吓住——这道题的本质，一句话就能说透：

Burst Lab | PHP 审计 13｜反序列化（三）：POP 链构造与 Gadget Chain 分析上一篇我们学习了 PHP 魔术方法的触发时机。本篇继续学习反序列化审计中最容易让初学者困惑的概念：POP 链。

Burst Lab | PHP 审计 14｜反序列化（四）：字符串逃逸与绕过技巧在前面三篇文章中，我们已经完成了三个阶段的学习：本篇继续研究一个经常出现在代码审计中的问题：当业务代码手工拼接序列化字符串时，字符串长度和结构边界会发生什么变化？

【好靶场】PHP反序列化入门练习本文仅用于授权靶场、CTF 练习和本地安全学习。PHP 反序列化漏洞并不一定都会导致命令执行。在最基础的题型中，攻击者可能只需要修改序列化对象中的某个属性，就可以改变程序原本的业务逻辑，例如：

【好靶场】PHP反序列化入门练习2本文仅用于授权靶场、CTF 练习和本地安全学习，禁止用于未授权测试。学习本题前，需要掌握 PHP 魔术方法与反序列化命令执行相关基础。

行者-全栈开发

CVE-2026-45659：Microsoft SharePoint远程代码执行漏洞深度解析与修复指南摘要: 2026年5月,Microsoft披露了SharePoint Server高危漏洞CVE-2026-45659,CVSS评分8.8。该反序列化漏洞允许已认证攻击者在SharePoint服务器上远程执行代码,无需管理员权限。本文深度剖析漏洞原理、攻击场景、影响范围,并提供完整的修复方案和临时缓解措施。

佛祖让我来巡山

Java中的序列化和反序列化：让你的对象学会“变身术”先问大家一个问题：面试官问你“什么是Java序列化”，你会怎么回答？是不是脑海里蹦出几个关键词——“把对象存到文件里”“实现Serializable接口”——然后就卡壳了？

四、应用层自定义序列协议与序列化目录4-1 应用层再谈 "协议"网络版计算器序列化和反序列化核心问题：数据怎么变成字节流，又怎么变回来？

回顾Java知识点，面试题汇总Day10：日期类、IO流（持续更新）实用类输入字节流 InputStreamInputStream是抽象类，不能直接使用，使用其子类 FileInputStream

十五年专注C++开发

cereal 库：C++ 序列化的轻量之选目录1.简介2.安装与集成3.基本用法4.侵入式 vs 非侵入式：两种接入模型4.1.侵入式：在类内部定义 serialize

thinkphp5.2反序列化以下事例主要以thinkphp5.2为例：方法一：网页版本直接确认方法二：在composer.lock文件下查看

反序列化漏洞漏洞就是：黑客传了恶意构造的字符串，服务器还原时，直接执行了恶意代码。一句话：把恶意数据当 “合法对象” 执行。

十五年专注C++开发

C++ 序列化 Protocol Buffers：高效数据交换目录1.简介2.安装2.1.快速安装2.2.源码编译安装3.C++中使用流程3.1.定义 Protobuf 数据结构（.proto 文件）

php反序列化基础知识前奏序列化？反序列化？好高大尚的词语，在学习think PHP5版本的框架反序列化时，多序列化和反序列化的过程以及函数的触发调用有了很大的感触。遂此篇文章来做一个分享学习，若文章中出现一些知识点的错误，请大佬指出。