Question

是否 有 java反序列化漏洞

Answer 1

java反序列化漏洞是一类被广泛应用的漏洞，绝大多数的编程语言都会提供内建方法使用户可以将自身应用所产生的数据存入硬盘或通过网络传输出去。这种将应用数据转化为其他格式的过程称之为序列化，而将读取序列化数据的过程称之为反序列化。
　　当应用代码从用户接受序列化数据并试图反序列化改数据进行下一步处理时会产生反序列化漏洞。该漏洞在不同的语言环境下会导致多种结果，但最有危害性的，也是之后我们即将讨论的是远程代码注入。
　　2.java反序列化漏洞发现历程
　　在最近几年间，不断的有java反序列化漏洞被曝光。最近的几次分别产生于spring框架以及Groovy还有文件上传的java库中，这些漏洞均得到了修复。
　　但在最近的研究中，安全人员发现java反序列漏洞远远不止上述几处，该漏洞广泛的存在于java库中。
　　Java反序列化漏洞：
　　漏洞产生原因：
　　在java编写的web应用与web服务器间java通常会发送大量的序列化对象例如以下场景：
　　HTTP请求中的参数，cookies以及Parameters。
　　RMI协议，被广泛使用的RMI协议完全基于序列化
　　JMX 同样用于处理序列化对象
　　自定义协议 用来接收与发送原始的java对象
　　在序列化过程中会使用ObjectOutputStream类的writeObject()方法，在接收数据后一般又会采用ObjectInputStream类的readObject()方法进行反序列化读取数据。其代码示例如下：

　　上述代码中的java类ObjectInputStream在执行反序列化时并不会对自身的输入进行检查，意味着一种可能性，即恶意攻击者构建特定的输入，在ObjectInputStream类反序列化之后会产生非正常结果。而根据最新的研究，利用这一方法可以实现远程执行任意代码。