JAVA反序列漏洞原理及利用工具

Java反序列化漏洞原理

序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。

Java中的ObjectOutputStream类的writeObject()方法可以实现序列化，类ObjectInputStream类的readObject()方法用于反序列化。

下面是将字符串对象先进行序列化，存储到本地文件，然后再通过反序列化进行恢复的样例代码：

public static void main(String args[]) throws Exception {
String obj = "hello world!";

// 将序列化对象写入

public static void main(String args[]) throws Exception { String obj = "hello world!";// 将序列化对象写入文件object.db中FileOutputStream fos = new FileOutputStream("object.db");ObjectOutputStream os = new ObjectOutputStream(fos);os.writeObject(obj);os.close();// 从文件object.db中读取数据FileInputStream fis = new FileInputStream("object.db");ObjectInputStream ois = new ObjectInputStream(fis);// 通过反序列化恢复对象objString obj2 = (String)ois.readObject();ois.close();}

问题代码分析：

如果Java应用对用户输入，即不可信数据做了反序列化处理，那么攻击者可以通过构造恶意输入，让反序列化产生非预期的对象，非预期的对象在产生过程中就有可能带来任意代码执行。

所以这个问题的根源在于类ObjectInputStream在反序列化时，没有对生成的对象的类型做限制；假若反序列化可以设置Java类型的白名单，那么问题的影响就小了很多。

反序列化问题由来已久，且并非Java语言特有，在其他语言例如PHP和Python中也有相似的问题。@gebl和@frohoff的报告中所指出的并不是反序列化这个问题，而是一些公用库，例如Apache Commons Collections中实现的一些类可以被反序列化用来实现任意代码执行。WebLogic、WebSphere、JBoss、Jenkins、OpenNMS这些应用的反序列化漏洞能够得以利用，就是依靠了Apache Commons Collections。

测试方法：

1、人工审计源代码。

2、利用大佬共享的测试工具，进行测试。

修复建议

1、将服务器安装的JDK升级到官方最新版本，可以防范目前以往所有公布的Java反序列化漏洞。

2、对于weblogic中间件反序列化漏洞，需要及时打上最新的补丁，或者配置防火墙策略，屏蔽掉T3协议的访问，只开放对HTTP、HTTPS访问。

3、对于Jboss、tomcat等中间件的反序列化漏洞，可以将存在反序列化漏洞的jar包升级到最新版本，但特殊情况下，需要升级的jar包种类比较多，此修复建议很费时。

4、检测防火墙配置，是否开启对Java反序列化漏洞的防范策略。

JAVA反序列漏洞原理及利用工具相关推荐

XSS漏洞原理和利用
XSS漏洞原理和利用 XSS漏洞的危害 1.窃取用户Cookie,如果用户Cookie被窃取,攻击者可以不通过密码,而直接登录用户账户 2.使用XMLHttpRequest构造模拟用户请求操作 3.X ...
JAVA反序列化漏洞原理分析
反序列化漏洞原理分析从序列化和反序列化说起什么是序列化和反序列化? 简单来讲,序列化就是把对象转换为字节序列(即可以存储或传输的形式)的过程,而反序列化则是他的逆操作,即把一个字节序列还原为对象的 ...
00005在java结果输出_浅谈Java反序列化漏洞原理（案例未完善后续补充）
摘要: 0005,这个16进制流基本上也意味者java反序列化的开始:(2)HTTP:必有rO0AB,其实这就是aced0005的base64编码的结果:以上意味着存在Java反序列化,可尝试构造pa ...
永恒之蓝漏洞原理及利用
本文转自行云博客https://www.xy586.top/ 文章目录摘要前提需要原理漏洞利用摘要什么是永恒之蓝永恒之蓝(Eternal Blue)爆发于2017年4月14日晚,是一种利 ...
Java高危漏洞被再度利用可攻击最新版本服务器
2019独角兽企业重金招聘Python工程师标准>>> 安全研究人员警告称,甲骨文在2013年发布的一个关键 Java 漏洞更新是无效的,黑客可以轻松绕过.这使得此Java高危漏洞可 ...
浅谈SQL注入漏洞原理及利用方式
1.SQL注入原理: 在数据交互中,前端的数据传入到后台处理时,由于后端没有做严格的判断,导致其传入的恶意"数据"拼接到SQL语句中后,被当作SQL语句的一部分执行.漏洞产生于脚 ...
java asm jndi_JNDI-Injection-Exploit JNDI注入利用工具
介绍 JNDI注入利用工具,生成JNDI链接并启动后端相关服务,可用于Fastjson.Jackson等相关使用可执行程序为jar包,在命令行中运行以下命令: $ java -jar JNDI-I ...
fastjson反序列化漏洞原理及利用
重要漏洞利用poc及版本我是从github上的参考中直接copy的exp,这个类就是要注入的类 import java.lang.Runtime; import java.lang.Process; ...
文件上传漏洞原理和利用
文件上传 1.前段选择文件,提交文件 2.浏览器形成POST MultiPart报文发送到服务器 3.服务器中间件接收到报文,解析后交给后端代码进行处理 4.后端代码将上传的文件内容写入到临时文件中( ...

JAVA反序列漏洞原理及利用工具

JAVA反序列漏洞原理及利用工具相关推荐

最新文章

热门文章