deserial（反序列化）

不安全反序列化的完整知识体系。

文章目录

基础

• 反序列化简介 — 概念、CWE-502
• 序列化基础 — 格式、魔术方法
• 触发面与审计 — Cookie/Session/API

PHP

• PHP 反序列化 — unserialize
• PHP 魔术方法 — __wakeup/__destruct
• POP 链 — 对象属性链
• Phar 反序列化 — phar:// 触发
• Session 反序列化 — session.serialize_handler
• 过滤与绕过 — 字符逃逸、CVE
• PHP 原生类 Gadget — SoapClient、SPL、Exception
• PHP 序列化解析 — S: / O:+ / R: / fast destruct

Java

• Java 原生序列化 — ObjectInputStream
• Gadget 链 — 链构造思路
• Commons Collections — CC1–CC7
• Commons BeanUtils — CB 链
• ysoserial — 工具与审计
• Fastjson — autoType
• Jackson — 多态反序列化
• SnakeYAML — YAML 构造
• XStream — XML 映射
• Hessian — 二进制 RPC
• JNDI 注入 — LDAP/RMI 加载
• Shiro RememberMe — AES + 默认 Key
• XMLDecoder — JavaBeans XML
• RMI/JMX — 远程调用面

其他语言

• Python Pickle — pickle.loads
• Ruby Marshal — Marshal.load
• .NET BinaryFormatter — ViewState 等
• Node.js 序列化 — node-serialize

收尾

• 案例 — Log4Shell、Shiro 等
• 缓解与修复 — 白名单、签名
• 参考文献 — ysoserial、PATT

---

目录树

deserial
│
├── 00-intro / serialization-basics / trigger-surfaces
├── php-deserialization / php-magic-methods / php-pop-chain
├── php-phar / php-session / php-filter-bypass
├── php-native-gadgets / php-serialize-quirks
├── java-native / gadget-chain / commons-collections / commons-beanutils
├── ysoserial / fastjson / jackson / snakeyaml / xstream / hessian
├── jndi-injection / shiro-rememberme / xmldecoder / rmi-jmx
├── python-pickle / ruby-marshal / dotnet-binaryformatter / node-serialize
├── cases / mitigation / references

---

返回 Web 漏洞