反序列化漏洞测试方法与场景复现解析

摘要：安全测试的目的实际上就是找漏洞，漏洞就是Bug，是违反了信息安全三原则（机密性、完整性和可用性，简称CIA）的Bug。让语句通顺一点，也可以说，只要违反了信息安全三原则的Bug都是漏洞。

安全测试的目的实际上就是找漏洞，漏洞就是Bug，是违反了信息安全三原则（机密性、完整性和可用性，简称CIA）的Bug。让语句通顺一点，也可以说，只要违反了信息安全三原则的Bug都是漏洞。

读者可以根据这个定义去公司的Bug库里面找一找，也许你已经找到了很多漏洞，如果是个全新的漏洞，你再给它起一个听起来很牛的名字，比如说跨站点脚本漏洞也被称为“会话骑行”，点击劫持漏洞根据不同的利用场景，也可以叫移形换影，简单的讲就是在目标网站上覆盖了一层透明的图层。

上面的命名不是很严谨，不过听起来很有趣。有趣很重要，现在要靠兴趣去推动学习了。

文章内容主要是讲解反序列化漏洞的测试方法。对于测试人员来说，不需要深入分析序列化漏洞在代码层面的成因，去构造相对复杂的漏洞调用链，只需要根据实际的测试环境证明漏洞存在或不存在，获得一个明确的测试结果即可。

首先，会让读者了解序列化和反序列化的概念，再通过实现java原生序列化功能，获得用于反序列化漏洞测试数据的实例，最后通过构建一个测试场景，复现第三方组件存在的反序列化漏洞。

测试场景的搭建全部用安全测试工具SafeTool-51testing实现，包括含有反序列化漏洞的靶机网站，用于“搭桥”的LDAP服务，用于“传送”测试代码触发漏洞执行的Web服务。

要理解序列化，我们先理解何为序列。序列是个数学上的概念，意为被排成一列的对象或事件，既然是排成一列就意味着顺序排列，或者说是有规则的排列，重点是序列中对象的先后关系必须一目了然。计算机的本质就是处理数据，所以计算机领域的序列化指的是数据序列化，把动词和名词调过来，称为序列化数据。

开发语言也套用了这个概念(序列化数据)，把一段代码以二进制的形式保存在内存、文件或数据库中，方便存储、读取和网络传输，目的是持久化存储和多平台网络通信。而Java是面向对象编程的开发语言，那Java的序列化就是把Java对象按一定规则和顺序以二进制形式保存在内存、文件或数据库中，目的是持久化存储和多平台网络通信。

这里只是以JAVA举例，实际上第三代开发语言都存在序列化功能。

知道了序列化的含义，反序列化就好理解了，就是从内存、文件、数据库或网络传输中把这段序列化的二进制数据，按规则和顺序重新恢复成Java对象。当然了，序列化数据最常见的用途还是作为网络通信的数据发送，现在不是分布式异构系统很流行吗，当一个子系统要去调用另一个子系统实现的功能的时候，序列化数据就是解决这个问题的方法之一了，具体的实现还是需要一个协调机制的，例如，Java的RMI框架(Remote Method Invocation-远程方法调用)。

序列化对象要么包含数据，要么包含功能，要么既包含数据也包含功能。包含数据影响不大，但是一旦包含可执行相关功能的代码，且未经过滤审查，就很有可能被恶意人员利用，对目标系统造成不可控的损失。

Java的原生序列化功能实现起来非常简单，即如图1-1所示，实现java.io.Serializable接口即可。