反序列化 - ReadObject 

  序列化：将Java对象转换为字节序列的过程，便于保存在内存、文件、数据库中，ObjectOutputStream类的writeObject()方法可以实现序列化
  反序列化：指把字节序列恢复为Java对象的过程，ObjectInputStream类的readObject()方法用于反序列化
  反序列化漏洞：攻击者可以通过受影响的接口直接或间接地传入恶意的反序列化对象，从而造成任意代码执行
  Java中可分为：原生反序列化类(ObjectInputStream.readObject()、SnakeYaml、XMLDecoder)、三方组件反序列化(Fastjson、Jackson、Xstream……)

漏洞场景：ObjectInputStream.readObject()

tips
ysoserial项目地址：https://github.com/frohoff/ysoserial
payload生成：java -jar ysoserial-all.jar CommonsCollections5 "open -a Calculator" | base64
测试结果 

                                        

                                    

                                


                            

                        

                    


                    

                        
 缺陷代码

                        

                            

                        

                    

                

            


            

                

                    

                        
 安全场景：关闭不安全的反序列化

                        

                            

                                

                                    

                                        

                                            
                                            

                                                
                                                
                                            

                                        

                                    

                                


                                

                                    

                                        
tips

                                        

                                            
代码审计SINK点：
    1、JDK(ObjectInputStream.readObject)
    2、XMLDecoder.readObject
    3、Yaml.load
    4、XStream.fromXML
    5、ObjectMapper.readValue
    6、JSON.parseObject

                                        

                                    

                                


                                

                                    

                                        
测试结果
                                        

                                        

                                            

                                        

                                    

                                


                            

                        

                    


                    

                        
 安全代码

                        

                            

                        

                    

                

            


            

                

                    

                        
 安全场景：反序列化黑白名单

                        

                            

                                

                                    

                                        

                                            
                                            

                                                
                                                
                                            

                                        

                                    

                                


                                

                                    

                                        
tips

                                        

                                            
  ValidatingObjectInputStream：这是Apache Commons IO 提供的一个类，它允许在反序列化时指定可以接受的类或拒绝的类。通过accept/reject(Class) 方法，可以指定只允许/拒绝某些类进行反序列化。

                                        

                                    

                                


                                

                                    

                                        
测试结果
                                        

                                        

                                            

                                        

                                    

                                


                            

                        

                    


                    

                        
 安全代码