Java反序列化漏洞自动检测脚本设计

• 作者: 邹仕洪 钱劼 雷敏
• 来源期刊: 网络安全技术与应用
• 关键词: Java反序列化 远程代码执行 自动检测
• 年，卷（期）: 2017,（8）
• 所属期刊栏目: 安全模型、算法与编程
• 页码范围: 66-68
• 页数: 3页
• 字数: 2449字
• 语种: 中文

摘要

Java反序列化漏洞会导致远程恶意代码执行.Java的序列化机制允许客户端程序将对象数据格式化为二进制数据流,在服务器端解析二进制流还原为对象.Apache Commons Colections类库的使用使反序列化方法未能对用户数据做有效过滤,导致攻击者可以在对象属性中构造恶意代码,通过反射机制在服务器端口执行代码进而控制服务器.本文以JBoss服务器为例设计自动化检测脚本,判断指定主机是否存在漏洞,并通过了实际测试.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	雷敏		40	145	6.0	9.0
3	邹仕洪		33	732	16.0	26.0
7	钱劼		1	3	1.0	1.0