序列化就是将对象转换成字节流,可以更方便的将数据保存到本地文件
反序列化就是将字节流还原成对象
Java中提供了两个接口来支持序列化,ObjectIutputStream()和ObjectOutputStream()
序列化相对安全,问题出在反序列化的过程
原理
攻击者通过构造恶意的参数,使数据在在反序列化后生成特殊的对象类型,从而执行恶意代码
问题的根源在于,反序列化时没有对生成的对象类型做限制
防御
反序列化漏洞的防御主要以白名单为主,限制对象的类型,从而减小影响
反序列化漏洞原理/防御
2021-12-30
934
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《
阿里云开发者社区用户服务协议》和
《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写
侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：
列化就是将对象转换成字节流,可以更方便的将数据保存到本地文件反序列化就是将字节流还原成对象
目录
相关文章
|
7月前
|
存储
开发框架
安全
如何处理预防XSS漏洞攻击问题
防止XSS攻击需要从多个方面入手，包括输入验证和过滤、输出编码、设置正确的HTTP头部、使用最新的安全框架和库、定期进行安全审计和漏洞扫描以及培训和意识提升等。只有综合运用这些措施，才能有效地防止XSS攻击，保护网站和用户的安全。
370
0
0
|
7月前
|
Java
关系型数据库
MySQL
|
网络协议
安全
DoS攻击原理和防御方法
1698
0
0
|
3月前
|
安全
关系型数据库
Shell
|
4月前
|
监控
安全
测试技术
|
存储
缓存
安全
【WEB安全】不安全的反序列化
1.1. 什么是序列化和反序列化 序列化和反序列化是指用于将对象或数据结构转换为字节流的过程，以便在不同系统之间进行传输或存储，并在需要时重新构造。 序列化是指将对象或数据结构转换为字节流的过程。 在序列化过程中，对象的状态和数据被转换为一系列字节，这些字节可以按照一定的协议进行传输或存储。序列化通常用于将对象存储到磁盘或通过网络发送到其他系统。序列化后的字节流可以被保存下来，以后
212
0
0
|
SQL
安全
测试技术
[网络安全]SQL注入原理及常见攻击方法简析
一般而言，登录验证逻辑语句为：
select * from 表名 where name(用户名)='$输入' and pass(密码)='$输入'
当数据表中同时存在输入的name和pass字段时，页面将回显登录成功。
790
0
0
|
SQL
存储
安全
|
开发框架
安全
JavaScript
|
存储
安全
Java
热门文章
最新文章
1
Hadoop迁移MaxCompute神器之DataX-On-Hadoop使用指南
2
Nginx的启动、停止与重启
3
Hive之数据倾斜的原因和解决方法
4
开发人员各级岗位胜任力模型
5
Node.js 中流操作实践
6
传奇龙版地图查看器
7
调整DC的网络对网络是否会有影响?
8
How to maintain Oracle10g Recyclebin?
9
你知道自己感染了恶意软件吗？
10
Groovy 快速入门
1
Python学习的自我理解和想法（9）
89
2
Kimi 上线视觉思考模型，K1 系列强化学习模型正式开放，无需借助外部 OCR 处理图像与文本进行思考并回答
100
3
CosyVoice 2.0：阿里开源升级版语音生成大模型，支持多语言和跨语言语音合成，提升发音和音色等的准确性
79
4
Megrez-3B-Omni：无问芯穹开源最强端侧全模态模型，支持理解图像、音频和文本三种模态数据
50
5
FreeScale：无需微调即可提升模型的图像生成能力，生成 8K 分辨率的高质量图像
37
6
Freestyler：微软联合西工大和香港大学推出说唱音乐生成模型，支持控制生成的音色、风格和节奏等
37
7
《C 语言与统计假设检验：洞察人工智能模型性能差异》
82
8
《C 语言赋能：物联网环境下人工智能应用的能耗优化之道》
22
9
《C 语言助力神经网络剪枝：优化模型的卓越之道》
25
10
《C 语言复数运算：赋能人工智能信号处理新境界》
20