Java序列化与反序列化漏洞全解析：javasec带你看透安全风险

【免费下载链接】javasec 自己学习java安全的一些总结，主要是安全审计相关 项目地址: https://gitcode.com/gh_mirrors/java/javasec

Java序列化与反序列化是Java安全领域的重要议题，涉及对象持久化存储与网络传输的核心机制。本文将从基础原理出发，通过实际案例分析Java反序列化漏洞的形成原因、利用方式及防御策略，帮助开发者和安全爱好者全面掌握这一关键安全风险。

一、Java序列化基础：从对象到字节流的转换

Java序列化机制允许将对象转换为字节序列以便存储或传输，而反序列化则是将字节序列恢复为对象的过程。这一机制在分布式系统、缓存存储等场景中广泛应用，但也带来了潜在的安全风险。

1.1 序列化与反序列化的核心操作

实现Java对象的序列化需要满足两个条件：该类必须实现java.io.Serializable接口，且所有属性必须是可序列化的。序列化通过ObjectOutputStream的writeObject()方法实现，反序列化则通过ObjectInputStream的readObject()方法完成。

图1：Java序列化与反序列化基础代码示例及执行结果

1.2 反序列化的潜在风险点

反序列化过程的危险在于，当对象被恢复时，会自动调用类中定义的readObject()方法。如果这个方法被恶意重写，就可能在反序列化时执行任意代码。

图2：自定义readObject方法在反序列化时自动执行

二、漏洞原理：从可控方法到代码执行

Java反序列化漏洞的本质是攻击者通过构造恶意的序列化数据，在目标系统进行反序列化时触发预设的攻击逻辑。最经典的案例是Apache Commons Collections库中的反序列化漏洞。

2.1 利用链构造：Transformer接口的链式调用

Apache Commons Collections库提供了ChainedTransformer类，它能够将多个Transformer接口实现类串联起来执行。通过组合ConstantTransformer和InvokerTransformer，可以构造出能够执行任意命令的调用链。

图3：利用ChainedTransformer执行系统命令的代码示例

2.2 TransformedMap触发机制

TransformedMap类的put()方法会自动调用transform方法。当我们将精心构造的ChainedTransformer实例作为值转换器传入TransformedMap，并通过反射机制将其封装到AnnotationInvocationHandler对象中，就能在反序列化时自动触发命令执行。

图4：使用TransformedMap构造反序列化Payload的示例

三、漏洞利用实战：从理论到实践

3.1 漏洞环境搭建

要复现Java反序列化漏洞，需准备以下环境：

• JDK 1.7（部分漏洞在JDK 1.8中已修复）
• Apache Commons Collections 3.2.1
• 目标应用（如WebLogic 10.3.6）

通过git clone https://gitcode.com/gh_mirrors/java/javasec获取完整测试代码库。

3.2 漏洞利用步骤

1. 构造恶意Payload：使用ChainedTransformer和TransformedMap创建包含命令执行逻辑的序列化对象
2. 发送Payload：通过目标应用支持的协议（如WebLogic的T3协议）将Payload发送到服务器
3. 命令执行：目标服务器在反序列化时触发漏洞，执行预设命令

关键代码位于项目文件3. apache commons-collections中的反序列化.md中，包含完整的POC实现和利用细节。

四、防御策略：保护系统免受反序列化攻击

4.1 基础防御措施

• 升级依赖库：及时更新Apache Commons Collections等存在漏洞的库至安全版本
• 限制反序列化类：通过ObjectInputStream的resolveClass方法白名单限制可反序列化的类
• 使用安全管理器：配置SecurityManager限制危险操作

4.2 高级防护方案

• 引入反序列化过滤器：使用java.io.ObjectInputFilter（JDK 9+）过滤恶意类
• 实现自定义readObject：在自定义类中重写readObject方法，增加输入验证
• 采用序列化协议替代方案：使用JSON等更安全的序列化格式替代Java原生序列化

五、总结与展望

Java反序列化漏洞是一个持续演化的安全威胁，从早期的Apache Commons Collections漏洞到近年来的各类框架漏洞，攻击者不断寻找新的利用链。作为开发者，需要深入理解序列化机制，采取多层次防御策略，同时关注最新的安全动态。

项目中2.java序列化与反序列化.md和3. apache commons-collections中的反序列化.md提供了更详细的技术细节和代码示例，建议结合实际环境进行测试学习，切实提升对Java安全的理解和防护能力。

通过本文的学习，相信你已经对Java序列化与反序列化漏洞有了全面认识。安全防护是一个持续过程，只有不断学习和实践，才能有效应对日益复杂的安全挑战。

【免费下载链接】javasec 自己学习java安全的一些总结，主要是安全审计相关 项目地址: https://gitcode.com/gh_mirrors/java/javasec