Question

Java反序列化安全漏洞怎么回事

Answer 1

java反序列化算是今年java里最被低估的一个吧。
序列化大家都知道，是把有意义的字符串，文件转化成流的形式（以二进制流为底层）。反序列化顾名思义就是用二进制的形式来生成文件，由于common-collections.jar几乎在所有项目里都会被用到，所以当这个漏洞被发现并在这个jar包内实现攻击时，几乎影响了一大批的项目，weblogic的中枪立刻提升了这个漏洞的等级（对weblogic不熟悉的可以百度）。

至于如何使用这个漏洞对系统发起攻击，举一个简单的例子，我通过本地java程序将一个带有后门漏洞的jsp（一般来说这个jsp里的代码会是文件上传和网页版的SHELL）序列化，将序列化后的二进制流发送给有这个漏洞的服务器，服务器会自动根据流反序列化的结果生成文件，然后就可以大摇大摆的直接访问这个生成的JSP文件把服务器当后花园了。

反序列化GITHUB地址：
https://github.com/ikkisoft/SerialKiller

Answer 2

讲一讲环境 ，才好知道 。。。。。。。。。。。。