九游老哥云
2017年反序列化误差年度报告v1.0
2019-11-28
配景
2017年OWASP宣布了新的十大web误差威胁，其中A8:2017就是不清静的反序列化，A9:2017-使用含有已知误差的组件也和反序列化细密相连，这是由于在Java开发中许多代码都依赖于第三方组件，而这些组件可能会保存反序列误差，典范的例子就是Jackson，fastjson，XStream，XMLDecoder等开源组件 。序列化是工具转换成二进制，json，xml等存储名堂 。而反序列化恰恰相反，则是将二进制，json，xml转换成响应的类 。
在2017年九游老哥科技NS-SRC 处置惩罚的误差应急中就有很大一部分是反序列化误差，下面我们来逐一剖析2017年我们应急的那些反序列化误差 。 总得来说，2017年泛起的反序列化误差和以往反序列误差在误差形成方法上不太一样，在以往都是由于Java自身的反序列特征导致的误差，2017年则多了fastjson，Jackson等，这两个库都能将json文本转换成详细的java bean，在这个转换历程中会挪用响应的setter要领和getter要领从而导致远程代码执行 。2017年还泛起关于XMLDecoder和XStream的应急，都是由于依赖问题导致的缺陷 。 本报告重点回首2017年九游老哥科技重点应急，影响面很是广的那些反序列化误差 。从这个报告中能看出反序列化误差的生长，攻击方和防御方一直的对抗历程，bypass和反bypass在这个历程中体现得淋漓尽致 。
概述
应急蹊径
从3月份爆出Fastjson的反序列化特征导致的远程代码执行，四月份则是Jackson，Log4j2，Jenkins的反序列化造成的远程代码执行，接着6月份流出了Weblogic CVE-2017-3248的使用代码 。稍微消停了一会，Struts2又被清静研究职员盯上，爆出Struts2-052，又是一个远程代码执行 。在11月份，由于Jackson官方对误差不敏感，接着又被曝CVE-2017-15095，又一个绕过 。进入12月份，Fastjson和Jackson相继宣布了几个补丁修复那些黑名单的绕过；Weblogic XMLDecoder(CVE-2017-10352)的误差被普遍应用于于挖坑 。由于许多误差都是远程代码执行，有的一个HTTP POST请求就能getshell，以是备受黑产亲睐 。
