反序列化 - XMLDecoder

  XMLDecoder是Java标准库中提供的一个类，用于将XML格式的数据反序列化为Java对象。它是JavaBeans机制的一部分，能够将符合JavaBeans规范的XML文件解析为Java对象

漏洞场景：xmlDecoder.readObject()

tips

  用户输入被构建为包含ProcessBuilder对象的XML结构，并传入命令数组。生成的XML被XMLDecoder解析，反序列化后通过ProcessBuilder执行命令

测试结果

缺陷代码

tips

SAX:事件驱动的特性和内存管理方式，更加安全，适合处理不受信任的数据
XMLDecoder:由于反序列化过程的性质，存在较高的安全风险，建议仅在处理可信数据时使用

测试结果