当前位置： 首页 > news >正文

序列化与反序列化漏洞及防御详解

news 2025/9/20 9:14:38

我们来详细、深入地解析序列化与反序列化漏洞及其防御措施。这是一个在Web应用程序、分布式系统以及任何使用对象序列化的场景中都非常关键的安全话题。

第一部分：什么是序列化与反序列化？

首先，我们需要理解基本概念。

  • 序列化 (Serialization)： 将程序中的一个对象（Object）的状态（包括其属性、数据、类型等信息）转换成一个可以存储或传输的格式的过程。这个格式通常是字节流（byte stream），也可以是JSON、XML、YAML等文本格式。

    • 目的： 为了将对象持久化保存到文件、数据库，或者通过网络（如RPC、消息队列）发送到另一个系统/进程。

    • 示例： 一个 User 对象，包含 username 和 isAdmin 属性，序列化成 JSON 后可能是 {"username": "alice", "isAdmin": true}。

  • 反序列化 (Deserialization)： 是序列化的逆过程。将序列化后的数据流重新转换回一个内存中的对象，恢复其原始状态和行为。

    • 目的： 接收方读取数据并重建对象，以便在程序中继续使用。

简单比喻：序列化就像将一辆汽车拆解成零件清单（便于运输），反序列化就像在目的地根据清单把零件重新组装成一辆可以开的汽车。

第二部分：为什么会产生漏洞？

漏洞的核心在于：反序列化过程通常意味着“信任”。程序相信序列化数据是合法、未被篡改的，并且会忠实地根据数据内容重建对象。

然而，这种信任被打破时，漏洞就产生了。关键在于许多编程语言的序列化机制为了完整地重建对象，不仅包含了对象的数据，还包含了类的元数据（如类名、方法名）。反序列化器在重建对象时，可能需要自动调用某些特定的“魔法方法”（Magic Methods）。

漏洞产生的根本原因：

  1. 不受信的输入源： 应用程序接受了来自外部、不可信来源的序列化数据（如用户输入、网络请求、Cookie等），并直接进行反序列化。

  2. 危险的“魔法方法”： 在反序列化过程中，为了初始化对象，解释器会自动调用一些特定的方法（如 Java 的 readObject、readExternal，PHP 的 __wakeup、__destruct，Python 的 __reduce__ 等）。如果攻击者能够控制序列化数据中的类名和方法，他们就可以让程序在反序列化时执行他们精心构造的类的这些方法。

  3. 存在危险的代码“小工具”： 即使攻击者指定的类不是核心库类，只要应用程序的Classpath中存在任何包含危险方法（如执行命令、写文件的方法）的类，攻击者就可以通过序列化数据链式调用这些方法，最终构成一个完整的攻击链（也称为“小工具链”）。

攻击者的思路：

  1. 寻找入口点： 找到一处接受序列化数据输入的地方（如HTTP参数、Cookie、文件上传、RPC接口等）。

  2. 构造恶意序列化数据：

    • 研究目标应用程序使用的编程语言和库。

    • 找到一个在应用程序classpath中存在的、包含危险“魔法方法”的类。

    • 精心构造数据，指定反序列化时实例化这个类，并为其属性赋予恶意值（例如，将 filename 属性设置为 ../../etc/passwd，将 command 属性设置为 rm -rf /）。

  3. 触发执行： 将恶意序列化数据发送给应用程序。当应用程序反序列化该数据时，会自动调用危险方法，从而执行攻击代码。

第三部分：漏洞的危害（攻击载荷）

反序列化漏洞的危害极其严重，通常会导致远程代码执行（RCE），这是最高危的漏洞之一。具体可以实现：

  1. 远程代码执行： 在目标服务器上执行任意系统命令，完全控制服务器。

  2. 文件操作： 读取、写入、删除服务器上的敏感文件（如密码文件、源代码、配置文件）。

  3. 拒绝服务： 通过实例化大量消耗资源的对象导致服务器崩溃。

  4. 内网渗透： 以应用程序的身份访问内部网络服务。

  5. 反向Shell： 获取一个与攻击者机器交互的命令行会话。

第四部分：经典案例

1. Java Apache Commons Collections

这是最著名的Java反序列化漏洞。尽管漏洞存在于第三方库中，但许多知名Web服务器（WebLogic, JBoss, WebSphere等）都使用了该库。

  • 根源： Apache Commons Collections库中的 InvokerTransformer、ChainedTransformer 等类提供了任意方法执行的能力。

  • 利用： 攻击者可以构造一个特殊的 Map 对象，其中包含一个“小工具链”，当这个Map被反序列化时，链中的 transform 方法会被调用，最终执行 Runtime.exec() 来运行系统命令。

2. PHP 反序列化

PHP的反序列化漏洞通常利用其丰富的魔法方法。

  • 示例： 一个类 Example 有 __destruct 方法，该方法会调用 $this->file 指向的文件进行删除操作。

    php

    class Example {public $file = 'useless.log';function __destruct() {unlink($this->file); // 删除文件}
}

  • 攻击： 攻击者序列化一个恶意的 Example 对象，将 file 属性修改为 ../../index.php。

    • 序列化数据：O:7:"Example":1:{s:4:"file";s:15:"../../index.php";}

  • 当这个数据被反序列化后，对象销毁时会调用 __destruct，从而删除网站首页，造成破坏。

经典案例全面总结

下表按语言和影响范围梳理了历史上最著名、最具代表性的反序列化漏洞案例：

漏洞名称/类型语言/环境核心原因利用原理简述造成的影响
Apache Commons CollectionsJava第三方库中存在危险的可链式调用的Transformer类构造恶意PriorityQueue或Map，在反序列化时链式调用InvokerTransformer.transform()，最终执行Runtime.exec()。里程碑式漏洞，影响了WebLogic、WebSphere、JBoss、Jenkins等大量主流Java应用，导致大规模的远程代码执行。
Java RMIRegistryJavaJava RMI服务端反序列化客户端发送的任何对象攻击者扮演客户端，向开放的RMI端口发送精心构造的恶意序列化对象，利用CC链等gadget执行命令。直接攻击Java分布式服务，获取服务器权限。
Spring AMQPJava旧版本中反序列化不可信数据类似CC链，通过恶意消息触发反序列化漏洞。影响了使用Spring AMQP进行消息传递的应用，可能导致RCE。
JBossJavaJMInvokerServlet等接口默认暴露且接受序列化数据直接向/invoker/JMXInvokerServlet等端点发送HTTP POST请求，包体为恶意序列化对象。无需认证即可直接获取服务器Shell，影响极大。
WebLogicJavaT3协议、WLSAuxiliary等组件默认使用序列化通信向T3协议端口或Web服务端点发送恶意序列化数据，利用WebLogic自带的gadget链或CC链。甲骨文旗下重磅中间件，多次出现反序列化漏洞，成为红队攻击重点目标。
PHP unserialize()PHP利用类的魔法方法（如__destruct, __wakeup）控制序列化字符串中的类名和属性，在对象销毁或唤醒时触发恶意操作（如文件操作、代码执行）。最常见的PHP漏洞类型之一，常出现在CMS、框架代码中，导致代码执行或文件篡改。
Python picklePythonpickle模块设计上就不安全重写对象的__reduce__方法，该方法返回一个可执行的元组（函数，参数），在反序列化时自动执行。任何处理用户输入pickle数据的应用都可能中招，极易导致RCE。
Ruby MarshalRuby类似Python，设计用于信任的环境通过覆盖Class#method_missing等技巧，在反序列化时执行任意代码。虽然不如PHP和Java常见，但同样危险，曾影响一些Ruby应用。
Node.js node-serializeJavaScript模块使用eval实现反序列化序列化数据中包裹立即执行函数表达式（IIFE），如{"rce":"_$$ND_FUNC$$_function (){require('child_process').exec('id', ...)}()"}，在还原时被eval执行。典型“滥用语言特性”案例，展示了即使非传统序列化格式也同样危险。
.NET BinaryFormatter.NET官方已标记为不安全类似于Java，利用ObjectStateFormatter等格式化器以及危险的“小工具”（如LosFormatter）。微软已强烈建议不使用BinaryFormatter处理不可信数据，但遗留系统仍大量存在。
FastJSONJava国产JSON库的autotype特性开启autotype后，JSON中的@type字段会指定要反序列化的类，攻击者可利用JDBC、JNDI等内置类进行攻击（如JNDI注入）。展示了即使JSON也不绝对安全，错误配置和危险特性同样导致RCE，影响深远。
JacksonJava多态类型处理（Polymorphic Type Handling）类似FastJSON，当启用defaultTyping时，通过JSON中指定恶意类利用gadget链。另一个流行的JSON库因配置不当而引发的反序列化问题，强调了白名单的重要性。
vBulletin CVE-2019-16759PHP对用户提供的反序列化数据校验不足利用vBulletin代码中的__destruct链，最终通过eval()函数执行PHP代码。影响了全球广泛使用的vBulletin论坛软件，可导致服务器被完全控制。
WordPress 插件漏洞PHP插件中使用unserialize()处理用户输入（如Cookie）篡改Cookie，插入恶意序列化字符串，利用插件或主题代码中的魔法方法实现权限提升或代码执行。非常常见的攻击向量，因为WordPress插件生态庞大，代码质量参差不齐。

从案例中提炼出的核心模式

通过以上案例，我们可以发现一些反复出现的模式：

  1. 语言特性的滥用：

    • Java/PHP/Python： 依赖反序列化过程中的自动方法调用（魔法方法）。

    • JavaScript： 依赖eval或类似功能的危险函数。

    • 这些特性为开发提供了便利，但也成为了最大的安全隐患。

  2. 漏洞的“跨界”传播：

    • 一个库的漏洞（如Apache Commons Collections）会影响到所有使用它的应用程序（WebLogic, JBoss...）。这体现了软件供应链安全的重要性。

  3. Misconfiguration（错误配置）：

    • FastJSON/Jackson： 安全功能（如autotype、defaultTyping）默认开启或被人为开启。

    • JBoss/WebLogic： 危险接口默认暴露且无认证。

    • 许多漏洞的根源并非代码错误，而是不安全的默认配置或开发者的错误配置。

  4. 协议与接口的暴露：

    • Java RMI、T3协议、HTTP Invoker： 这些为分布式通信设计的协议/接口，成为了从外部攻击内网的绝佳跳板。

  5. 思维的误区：

    • “我用的是JSON，所以很安全”： FastJSON和Jackson的案例打破了这种幻想。任何将数据重建为复杂对象的过程都可能存在风险。

这些经典案例不仅是历史教训，更是当今构建安全应用程序时必须参考的“错题本”。它们清晰地指明了防御的重点方向：严格校验输入、禁用危险特性、实施最小权限、保持组件更新。

第五部分：防御措施详解

防御需要多层次、纵深的安全策略。

1. 绝不反序列化不可信数据（首选方案）

这是最根本、最有效的防御措施。 如果业务上可以不使用序列化，就不要使用。优先考虑更安全的替代方案。

2. 使用安全的替代方案

优先使用纯数据交换格式，如 JSON、XML 或 YAML。

  • 这些格式只描述数据，不描述行为（方法）。反序列化后得到的是简单的数据结构（如字典、数组），而不是具有方法的活对象。

  • 例如，用 JSON.parse() 代替 Java 的 ObjectInputStream 或 PHP的 unserialize()。这从根本上切断了执行任意代码的可能性。

3. 实施完整性校验

如果必须使用序列化，必须确保序列化数据在传输或存储过程中未被篡改。

  • 数字签名： 对序列化数据进行哈希计算（如HMAC-SHA256），并将哈希值与数据一起存储/传输。在反序列化前，先用密钥重新计算哈希并比对，不一致则拒绝。

  • 加密： 对序列化数据进行加密（如AES-GCM），同时提供机密性和完整性保护。

4. 严格白名单控制

如果必须反序列化对象，必须严格限制反序列化的类。

  • Java： 使用 ObjectInputStream 的子类并重写 ObjectInputStream.resolveClass() 方法，只允许反序列化明确在白名单中的类。

    java

    public class SafeObjectInputStream extends ObjectInputStream {private static final Set<String> whitelist = Set.of("com.example.safe.User", "java.time.LocalDate");@Overrideprotected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {if (!whitelist.contains(desc.getName())) {throw new InvalidClassException("Unauthorized deserialization attempt: ", desc.getName());}return super.resolveClass(desc);}
}

  • 其他语言： PHP、Python等也有类似的机制或第三方库来实现反序列化白名单。

5. 隔离与沙箱

  • 降低权限： 运行应用程序的账户应遵循最小权限原则，没有不必要的文件读写或系统命令执行权限。这样即使被攻破，危害也能被限制。

  • 在沙箱/容器中运行： 将应用程序部署在隔离的容器（如Docker）或沙箱环境中，限制其与宿主机和其他系统的交互。

6. 依赖项安全

  • 定期更新： 及时更新编程语言运行时、框架以及所有第三方库，确保已知的反序列化“小工具链”已被修补。

  • 代码审计： 审计自身代码和依赖库，避免编写或引入包含危险功能的类。

7. 运行时监控与WAF

  • 日志记录： 记录所有反序列化操作的成功和失败事件，特别是失败的尝试，它们通常是攻击的前兆。

  • 入侵检测： 使用WAF或RASP技术监控异常行为，如突然出现的大量反序列化请求或已知的恶意载荷模式，并进行实时阻断。

总结

措施描述有效性
避免反序列化使用JSON/XML等纯数据格式极高
完整性校验使用HMAC等签名机制防止数据篡改高
严格白名单只允许反序列化明确安全的类高
最小权限降低运行账户权限，限制危害中
更新与审计修补已知漏洞，移除危险依赖中
监控与WAF检测和阻断攻击尝试辅助

核心思想：永远不要相信任何来自外部的序列化数据。 反序列化漏洞的防御是一个系统工程，需要从代码开发、架构设计、部署运维等多个层面共同协作，才能有效降低风险。

http://www.dtcms.com/a/391340.html

相关文章：

  • uniapp 锁定竖屏，固定竖屏，锁定屏幕
  • 论文解读 | Franka 机器人的 CRISP-ROS2 集成实践：适配学习型操作策略与遥操作
  • Redis数据库（二）—— Redis 性能管理与缓存问题解决方案指南
  • TCP KeepAlive判断离线的记录
  • Ceph 测试环境 PG_BACKFILL_FULL
  • 维星AI的GEO搜索优化：企业在AI时代的可见度突围之道
  • Abp Vnext 数据库由SQL server切换MySQL
  • Linux嵌入式自学笔记（基于野火EBF6ULL）：4.gcc
  • Mellanox网卡寄存器PPCC
  • [vibe code追踪] 应用状态管理 | 交互式点击 | 共享白板
  • SG-TCP232-110 单通道串口服务器，一键实现串口与以太网双向转换
  • 零基础入门神经网络：从数学公式到通俗理解
  • 坤驰科技诚邀您参加——第十三届中国光纤传大会
  • 如何找到高质量的Java项目教程？
  • 无声的战场：AUTOSAR AP日志里的谍影重重（1）
  • ThinkPHP在使用nginx反向代理后如何获取真实的Ip地址
  • LeetCode 分类刷题：2439. 最小化数组中的最大值
  • Git最佳实践（Golang示例项目）
  • 20250919在荣品RD-RK3588-MID开发板的Android13系统下使用TF卡刷机解决竖屏横用的时候的竖屏提示的问题
  • Makefile学习（三）- CFLAGS和LDFLAGS
  • React 新闻发布系统 NewSandBox侧边栏与顶部栏布局
  • ppt视频极致压缩参数
  • 49.Mysql多实例部署
  • java 上传文件和下载/预览文件 包括音频调进度条
  • 部署你的 Next.js 应用：Vercel、Netlify 和自托管选项
  • 从产品经理视角：小智AI的产品介绍与分析
  • 解决：导包红色波浪线但正常运行及其后续问题
  • webrtc弱网-LinkCapacityEstimator类源码分析与算法原理
  • vue el-autocomplete输入框自动匹配优化，建议项按高度相似降序
  • 十分钟了解@Version注解