【事件分析】No.10 影响深远的反序列化漏洞

序列化就是把对象转换成字节流,便于保存在内存、文件、数据库中;反序列化即逆过程,由字节流还原成对象。Java中的ObjectOutputStream类的writeObject()方法可以实现序列化,类ObjectInputStream类的readObject()方法用于反序列化。比如你可以将字符串对象先进行序列化,存储到本地文件,然后再通过反序列化进行恢复。

阅读全文 “【事件分析】No.10 影响深远的反序列化漏洞” »

2017年反序列化漏洞年度报告

在2017年绿盟科技NS-SRC 处理的漏洞应急中有很大一部分是反序列化漏洞,和以往漏洞形式不一样的是,2017年则多出了fastjson、Jackson等,还有关于XMLDecoder和XStream的应急,本报告重点回顾2017年绿盟科技重点应急,影响面非常广的那些反序列化漏洞。从这个报告中能看出反序列化漏洞的发展,攻击方和防御方不停的对抗过程,bypass和反bypass在这个过程中体现得淋漓尽致。

阅读全文 “2017年反序列化漏洞年度报告” »