作者：钱劼; 雷敏; 邹仕洪java反序列化远程代码执行自动检测
摘要：Java反序列化漏洞会导致远程恶意代码执行。Java的序列化机制允许客户端程序将对象数据格式化为二进制数据流,在服务器端解析二进制流还原为对象。Apache Commons Collections类库的使用使反序列化方法未能对用户数据做有效过滤,导致攻击者可以在对象属性中构造恶意代码,通过反射机制在服务器端口执行代码进而控制服务器。本文以JBoss服务器为例设计自动化检测脚本,判断指定主机是否存在漏洞,并通过了实际测试。
注：因版权方要求，不能公开全文，如需全文，请咨询杂志社
