‘壹’ 告别脚本小子系列丨JAVA安全(5)——序列化与反序列化
前言
本系列旨在深入洞悉漏洞原理，掌握漏洞挖掘思路与技巧，为提升代码安全提供系统性知识。已发布内容概览如下：
1. 告别脚本小子系列丨JAVA安全(1)——JAVA本地调试与远程调试技巧
2. 告别脚本小子系列丨JAVA安全(2)——JAVA反编译技巧
3. 告别脚本小子系列丨JAVA安全(3)——JAVA反射机制
4. 告别脚本小子系列丨JAVA安全(4)——ClassLoader机制与冰蝎Webshell分析
0x01 概述
反序列化漏洞是JAVA安全中常见类型，学习此议题有助于全面理解JAVA安全体系。
序列化过程将内存对象转化为字节序列，用于程序间数据传输或存储，反序列化则将字节序列还原为对象。以weblogic为例，通过t3协议传输数据，即是序列化与反序列化机制的体现，这也是导致weblogic反序列化漏洞频发的根源。
0x02 序列化详解
以下是序列化与反序列化过程的Java代码实例及解释：
代码中定义了User类进行测试。对象序列化需继承Serializable接口，否则抛出异常。序列化与反序列化基于字节流完成，数据可保存至文件或字节数组，反序列化后数据类型为Object，需强制转换。
运行代码后，在项目根目录生成序列化文件(user.ser)，通过xxd查看16进制格式。序列化数据格式通常为aced 0005，用于判断字符流是否为序列化数据。
序列化后数据原则上不可修改，允许在保持字符长度前提下替换属性值。例如，替换“zhangsan”为“lisi ”，用空格补齐。
0x03 反序列化漏洞
反序列化漏洞源于自动执行类中readObject方法。下面代码展示了这一过程及潜在风险。
如果readObject方法执行危险操作，可能导致反序列化漏洞。真实的环境复杂，实际利用链涉及多种调用逻辑，后续课程将深入探讨。
0x04 JAVA与PHP反序列化对比
JAVA与PHP在序列化处理上有差异。JAVA序列化数据格式特定，不可读；PHP序列化类似json，可读性更强。反序列化触发点、类加载机制及应用场景也有所不同。
总结：JAVA反序列化漏洞相对常见，与序列化方式多样、类加载机制灵活、第三方组件使用频繁等因素有关。
持续关注，获取更多关于反序列化漏洞研究与实战内容。