WEB漏洞 JAVA 反序列化

package SerialTest;
import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStreamReader;
import java.nio.charset.Charset;
public class Main {
    public static void main(String args[]) throws IOException, InterruptedException {
        Process p = Runtime.getRuntime().exec("ipconfig");
        java.io.InputStream is = p.getInputStream();
        BufferedReader reader = new BufferedReader(new InputStreamReader(is, Charset.forName("GBK")));
        p.waitFor();
        if (p.exitValue() != 0){
            // 命令执行失败 进入错误处理步骤中
        }
        String s = null;
        while ((s = reader.readLine()) != null){
            System.out.println(s);
        }
    }
}

package SerialTest;
import com.sun.xml.internal.ws.server.ServerRtException;
import java.io.Serializable;
class Person implements Serializable {
    private String name;
    private int age;
    private String sex;
    private int height;
    public Person(){
        this.name = null;
        this.age = 0;
        this.sex = null;
        this.height = 0;
    }
    public Person(String name,int age,String sex,int height){
        this.name = name;
        this.age = age;
        this.sex = sex;
        this.height = height;
    }
    public   String toString(){
        return "Persion{" +
                "name=" + name +
                ", age=" + age +
                ", sex=" + sex +
                ", height=" + height +
                "}";
    }

package SerialTest;
import java.io.*;
public class SerializableTest {
    public static void main(String[] args) throws Exception {
        serialPerson();
        Person person = deserialPerson();
        System.out.println(person);
    }
    /**
     * Person 对象序列化
     * @throws IOException
     */
    private static void serialPerson() throws IOException{
        Person person = new Person("阿杰",20,"男",175);
        ObjectOutputStream oos = new ObjectOutputStream(
                new FileOutputStream(new File("F:/person.txt"))
        );
        oos.writeObject(person);
        System.out.println("person 对象序列化成功！");
        oos.close();
    }
    /**
     * Person 对象反序列化
     * @return
     * @throws Exception
     */
    private static Person deserialPerson() throws Exception {
        ObjectInputStream ois = new ObjectInputStream(
                new FileInputStream(new File("F:/person.txt"))
        );
        Person person = (Person)ois.readObject();
        System.out.println("person 对象反序列化成功！");
        return person;
    }
}

java中 
在ObjectOutputStream类中 有一个writeObject()方法 把指定的对象进行序列化后
把字节序列写到一个目标输出流中
ObjectInputStream类中 readObject()方法 从一目标输入流中读取字节序列进行反序化
成一个对象 再把结果返回
代码中定义了一个person类 类中含有成员属性 使用writeObject()方法 把对象序列化
写进一个文本里 然后在使用readObject() 方法 从文件中读取字节序列 在还原成源对象

在Web应用中有时候程序员为了考虑灵活性、简洁性，会在代码调用代码或命令执行函数
去处理。比如当应用在调用一些能将字符串转化成代码的函数时，没有考虑用户是否能
控制这个字符串，将造成代码执行漏洞。同样调用系统命令处理，将造成命令执行漏洞。
php(system()、shell_exec()、exec()、eval())
JAVA中的命令执行漏洞(struts2/ElasticsearchGroovy等)
ThinkPHP命令执行

public static Object fromString(String s)
    throws IOException, ClassNotFoundException
{
    byte[] data = Base64.getDecoder().decode(s);
    ObjectInputStream ois = new ObjectInputStream(new ByteArrayInputStream(data));
    Object o = ois.readObject();
    ois.close();
    return o;
  }
  public static String toString(Serializable o)
    throws IOException
{
    ByteArrayOutputStream baos = new ByteArrayOutputStream();
    ObjectOutputStream oos = new ObjectOutputStream(baos);
    oos.writeObject(o);
    oos.close();
    return Base64.getEncoder().encodeToString(baos.toByteArray

rO0ABXQAVklmIHlvdSBkZXNlcmlhbGl6ZSBtZSBkb3duLCBJIHNoYWxsIGJlY29tZSBtb3JlIHBvd2VyZnVsIHRoYW4geW91IGNhbiBwb3NzaWJseSBpbWFnaW5l