反序列化渗透与攻防(二)之Java反序列化漏洞

9月前分类：Toy博客阅读(46) 违法举报

这篇具有很好参考价值的文章主要介绍了反序列化渗透与攻防(二)之Java反序列化漏洞。希望对大家有所帮助。如果存在错误或未考虑完全的地方，请大家不吝赐教，您也可以点击"举报违法"按钮提交疑问。

Java反序列化漏洞

反序列化漏洞

JAVA反序列化漏洞到底是如何产生的？

1、由于很多站点或者RMI仓库等接口处存在java的反序列化功能，于是攻击者可以通过构造特定的恶意对象序列化后的流，让目标反序列化，从而达到自己的恶意预期行为，包括命令执行，甚至 getshell 等等。

2、Apache Commons Collections是开源小组Apache研发的一个 Collections 收集器框架。这个框架中有一个InvokerTransformer.java接口，实现该接口的类可以通过调用java的反射机制来调用任意函数，于是我们可以通过调用Runtime.getRuntime.exec() 函数来执行系统命令。Apache commons collections包的广泛使用，也导致了java反序列化漏洞的大面积流行。

所以最终结果就是如果Java应用对用户的输入做了反序列化处理，那么攻击者可以通过构造恶意输入，让反序列化过程执行我们自定义的命令，从而实现远程任意代码执行。

在说反序列化漏洞原理之前我们先来说说JAVA对象的序列化和反序列化

序列化和反序列化

序列化 (Serialization)：将对象的状态信息转换为可以存储或传输的形式的过程。在序列化期间，对象将文章来源地址https://www.toymoban.com/news/detail-416059.html

到了这里，关于反序列化渗透与攻防(二)之Java反序列化漏洞的文章就介绍完了。如果您还想了解更多内容，请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章，希望大家以后多多支持TOY模板网！

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：如若内容造成侵权/违法违规/事实不符，请点击违法举报进行投诉反馈，一经查实，立即删除！

分享到：

领支付宝红包赞助服务器费用

渗透测试漏洞原理之---【不安全的反序列化】

为什么要序列化？序列化，“将对象的状态信息转换为可以存储或传输的形式的过程”，这种形式⼤多为字节流、字符串、json 串。在序列化期间内，将对象当前状态写⼊到临时或永久性的存储区。以后，就可以通过从存储区中读取或还原（反序列化）对象的状态，重新创建

2024年02月09日
浏览(46)
Web攻防--JNDI注入--Log4j漏洞--Fastjson反序列化漏洞

什么是JNDI JNDI全称为 Java Naming and Directory Interface（Java命名和目录接口），是一组应用程序接口，为开发人员查找和访问各种资源提供了统一的通用接口，可以用来定义用户、网络、机器、对象和服务等各种资源。 JNDI支持的服务主要有：DNS、LDAP、CORBA、RMI等。简单从安全角度

2024年02月09日
浏览(45)
Day60：WEB攻防-PHP反序列化&POP链构造&魔术方法流程&漏洞触发条件&属性修改

目录 PHP-DEMO1-序列化和反序列化序列化操作 - 即类型转换序列化案例 PHP-DEMO2-魔术方法触发规则 __construct(): //当对象new的时候会自动调用 __destruct()：//当对象被销毁时会被自动调用 __sleep(): //serialize()执行时被自动调用 __wakeup(): //unserialize()时会被自动调用 __invoke(): //把对象当

2024年04月27日
浏览(39)
WEB攻防-Java安全&原生反序列化&SpringBoot攻防&heapdump提取&CVE

知识点： 1、Java安全-原生反序列化-3大类接口函数利用 2、Java安全-SpringBoot攻防-泄漏安全CVE安全序列化是将Java对象转换成字节流的过程。而反序列化是将字节流转换成Java对象的过程，java序列化的数据一般会以标记( ac ed 00 05 )开头，base64编码的特征为 rO0AB 。 JAVA常见的序列化

2024年02月03日
浏览(40)
【精选】PHP&java 序列化和反序列化漏洞

目录首先其次技巧和方法

2024年01月23日
浏览(50)
java反序列化漏洞分析

Java反序列化漏洞（Java Deserialization Vulnerabilities）是一种常见的安全漏洞，其攻击方式是利用Java中的序列化和反序列化机制，通过在序列化数据中插入恶意代码，导致反序列化过程中执行恶意代码。本文将介绍Java反序列化漏洞的原理、攻击方式和防范措施。一、Java序列化和

2024年02月13日
浏览(44)
Web安全--反序列化漏洞（java篇）

序列化的意义就在于方便存储和传输，永久的保存到硬盘中，通常保存在一个文件中。序列化：将java对象转换为字节序列的过程反序列化：序列化的逆过程，从储存区读出字节序列还原成对象的过程 java应用在对用户的输入没有进行严格的检查时，即传入了不可信的数据做

2024年02月09日
浏览(52)
Java反序列化漏洞-URLDNS链分析

目录一、前置知识反射二、分析 1. URL 2. HashMap 3. 解决一些问题反射修改字段值三、POC 四、利用链菜鸟教程 Java 序列化 Java安全-反射 URLDNS链的作用就是在目标主机中可能存在反序列化输入的数据的地方，传入序列化后的URLDNS利用链，如果目标主机解析了这个URL地址，那么

2024年02月04日
浏览(48)
【java安全】FastJson反序列化漏洞浅析

0x00.前言前面我们学习了RMI和JNDI知识，接下来我们就可以来了解一下FastJson反序列化了 0x01.FastJson概述 FastJson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将JavaBean序列化为JSON字符串，也可以将JSON字符串反序列化到JavaBean 0x02.FastJson使用首先我们需要使用

2024年02月11日
浏览(48)
Java安全研究——反序列化漏洞之CC链

apache commons-collections组件下的反序列化漏洞，自从该组件被爆出漏洞后，许多安全研究员相继挖掘到java多种组件的漏洞，危害严重。本人也是初学Java审计不久，技术薄弱，所以在此做一个cc链的学习总结，如有错误还请大佬指出。若本文有侵权行为，请立即私信，将全面修

2024年02月04日
浏览(55)