序列化就是将对象转换成字节流,可以更方便的将数据保存到本地文件
反序列化就是将字节流还原成对象
Java中提供了两个接口来支持序列化,ObjectIutputStream()和ObjectOutputStream()
序列化相对安全,问题出在反序列化的过程
原理
攻击者通过构造恶意的参数,使数据在在反序列化后生成特殊的对象类型,从而执行恶意代码
问题的根源在于,反序列化时没有对生成的对象类型做限制
防御
反序列化漏洞的防御主要以白名单为主,限制对象的类型,从而减小影响
反序列化漏洞原理/防御
2021-12-30
912
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《
阿里云开发者社区用户服务协议》和
《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写
侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：
列化就是将对象转换成字节流,可以更方便的将数据保存到本地文件反序列化就是将字节流还原成对象
目录
相关文章
|
6月前
|
存储
开发框架
安全
如何处理预防XSS漏洞攻击问题
防止XSS攻击需要从多个方面入手，包括输入验证和过滤、输出编码、设置正确的HTTP头部、使用最新的安全框架和库、定期进行安全审计和漏洞扫描以及培训和意识提升等。只有综合运用这些措施，才能有效地防止XSS攻击，保护网站和用户的安全。
336
0
0
|
6月前
|
Java
关系型数据库
MySQL
|
安全
网络安全
PHP
|
网络协议
安全
DoS攻击原理和防御方法
1682
0
0
|
2月前
|
安全
关系型数据库
Shell
|
1月前
|
存储
SQL
开发框架
|
2月前
|
安全
Java
应用服务中间件
|
1月前
|
安全
网络协议
NoSQL
|
存储
缓存
安全
【WEB安全】不安全的反序列化
1.1. 什么是序列化和反序列化 序列化和反序列化是指用于将对象或数据结构转换为字节流的过程，以便在不同系统之间进行传输或存储，并在需要时重新构造。 序列化是指将对象或数据结构转换为字节流的过程。 在序列化过程中，对象的状态和数据被转换为一系列字节，这些字节可以按照一定的协议进行传输或存储。序列化通常用于将对象存储到磁盘或通过网络发送到其他系统。序列化后的字节流可以被保存下来，以后
204
0
0
|
SQL
安全
测试技术
[网络安全]SQL注入原理及常见攻击方法简析
一般而言，登录验证逻辑语句为：
select * from 表名 where name(用户名)='$输入' and pass(密码)='$输入'
当数据表中同时存在输入的name和pass字段时，页面将回显登录成功。
752
0
0