什么是JAVA反序列化漏洞

       JAVA是中国开发人员普遍采用的编程语言，在互联网金融行业采用尤其凸出。实战演练中，运用Java反序列化完成系统命令执行的事例增涨发展趋势显著，与此同时，WebLogic、WebSphere、JBoss、Shiro等架构也都依次遭受反序列化漏洞的危害，不安全的反序列化漏洞也已被纳入OWASPTop10（2021年）。

0x01有关JAVA实例化和反序列化

实例化是把目标转化为字节数编码序列的环节，反序列化是把字节数编码序列恢复为目标的环节。JAVA实例化和反序列化核心解决了2个难题：1、把目标的字节数编码序列永久性地储存到固态盘或数据库系统中，完成目标的分布式锁储存；2、根据互联网上传送目标的字节数编码序列完成JAVA目标案例的数据传输。

实例化和反序列化自身并不存在不足。但当键入的反序列化的信息可被使用者操纵，那麼hack就可以根据构建恶意键入，让反序列化形成非期望的目标，在这里环节中执行构建的随意代码。

因为JAVA环境的缘故，开发人员会引入很多开源系统模块和第三方平台模块，JAVA函数库及很多第三方平台公共类库变成反序列化漏洞检测的核心。安全科学研究技术人员早已发现很多运用反序列化漏洞执行随意代码的方式，最让我们了解的是GabrielLawrence和ChrisFrohoff在《MarshallingPickleshowdeserializingobjectscanruinyourday》中提到的运用ApacheCommonsCollection第三方平台公共类库完成随意执行命令。JAVA普遍的实例化和反序列化的方式有JAVA原生态实例化和JSON类（fastjson、jackson）实例化。这篇文章对JAVA原生态反序列化开展探讨，JSON类实例化事后将详细介绍。

0x02JAVA反序列化漏洞基本原理

假如JAVA应用对使用者键入，即不可以信信息进行了反序列化处理，那麼hack能够根据构建恶意键入，让反序列化形成非期望的目标，非期望的目标在形成环节中就会有可能产生随意执行命令。举个事例，我们自己写了1个class来开展目标的编码序列与反序列化。