序列化是Java提供的一种对象持久化保存的技术。常规对象在程序结束后会被回收，如果想把对象持久保存方便下次使用，需要序列化和反序列化。

序列化有两个前提：

类必须实现java.io.serializable接口

类所有字段都必须是可序列化的

反序列化漏洞利用原理

1. 利用重写ObjectInputStream的readObject

重写ObjectInputStream的readObject方法时，可执行恶意代码。定义一个类，并实现serializable接口：

public class User implementsSerializable {publicString name;public intage;publicString getUserInfo(){return "user name: "+this.name +" age: "+this.age;

}

}

View Code

对这个类进行序列化和反序列化(将序列化对象保存在user.txt中)：

public classSerializeDemo {public static void main(String[] args) throwsIOException, ClassNotFoundException {

User user= newUser();

user.name= "路人";

user.age= 25;try{

FileOutputStream fileOut= new FileOutputStream("user.txt");

ObjectOutputStream out= newObjectOutputStream(fileOut);

out.writeObject(user);

out.close();

fileOut.close();

System.out.println("Serialized done");

}catch(IOException e) {

e.printStackTrace();

}

User user_out= null;

FileInputStream fileInput= new FileInputStream("user.txt");

ObjectInputStream in= newObjectInputStream(fileInput);

user_out=(User) in.readObject();

in.close();

fileInput.close();

System.out.println(user_out.getUserInfo());

}

}

View Code

执行结果：

user类重写readObject方法，并将恶意代码写在重写方法中：

private void readObject(ObjectInputStream in) throwsIOException, ClassNotFoundException {

in.defaultReadObject();

Runtime.getRuntime().exec("touch hello.txt");

}

View Code

执行序列化和反序列化之后，恶意代码执行成功：

2. 利用反射

反射可以越过静态检查和类型约束，在运行期间访问和修改对象的属性和状态。通过反射机制执行恶意代码。InvokerTransformer可以通过调用Java的反射机制来调用任意函数

public classReflectDemo {public static voidmain(String[] args) {

InvokerTransformer it= newInvokerTransformer("exec",new Class[]{String.class},new Object[]{"open /Applications/Calculator.app/"});

it.transform(java.lang.Runtime.getRuntime());

}

}

View Code

恶意代码执行成功：

但是在实际应用中，我们是不能直接把恶意代码写在对方的readObject中，或者把Runtime直接从外部传进去的，所以需要构造反射链payload来实现反序列化漏洞的利用。具体利用方式参考这篇文章：http://www.mi1k7ea.com/2019/02/06/Java%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96%E6%BC%8F%E6%B4%9E/

此外，还有一个叫做ysoserial的开源工具，集合了各种java反序列化payload，下载地址：

上一篇的漏洞利用库jmet-0.1.0-all.jar就是使用ysoserial生成的Payload。

关于java反序列化漏洞，咱目前只能理解到这个地步了(java水平有限 ..>_<..>