用XStream序列化Java对象

分析研究了Java序列化和XML序列化技术,利用开源工具XStream可以很简单的将Java对象序列化为XML。

基于图网络的Java反序列化漏洞检测方法

Java反序列化漏洞由于其很容易被非法利用,已经成为目前最具威胁的软件漏洞之一。在开发过程中,事先对软件所使用的第三方公共组件库进行检测,提前发现并防御潜在的反序列化漏洞尤为重要。目前已有的反序列化漏洞检测,主要有基于规则匹配和基于污点分析两种检测方法,前者采用白名单或者黑名单的方法无法发现未知的反序列化漏洞,而后者因其对漏洞调用链检测能力有限,故漏报和误报率高。为了弥补已有方法的缺陷,提出了一种基于图网络的Java反序列化漏洞调用链检测方法SerialFinder,该方法利用图结构充分表达反序列化漏洞调用链的语义信息,训练图同构网络模型,进而可以检测潜在的反序列化漏洞调用链。SerialFinder在多个第三方组件库进行验证,与业界最先进的Java反序列化漏洞调用链检测方法Gadget Inspector进行对比,结果表明,SerialFinder在三个公共组件库上的平均命中率为64%,比Gadget Inspector高31%。

基于混合分析的Java反序列化漏洞检测方法

随着Java的类库越来越多,反序列化漏洞的类型和数量都急剧上升。Java反序列化漏洞中存在利用链,攻击者通常将其与任意命令漏洞结合控制服务器。人工检测反序列化链需要花费大量的精力,且依赖代码审计人员的专业知识。基于符号执行和污点分析提出一种自动检测方法,实现调用链检测工具Taint Gadget。通过解析字节码收集继承信息、传参信息和调用信息进行污点标记,筛选出入口函数和危险函数以生成控制流图。基于反序列化漏洞的传播特征并结合符号执行技术扩展控制流图,定义污点传播规则,对污染传播的显示流路径和隐式流路径进行约束,记录传播过程中调用链的类和敏感变量,通过动态的方法还原污染路径并进行验证。方法的实现基于ASM、Neo4j、Z3等工具,包括污点标记模块、污点传播模块和污点验证模块。在ysoserial数据集上的实验结果表明,Taint Gadget的静态命中率和运行时间分别为70.3%和78.4 s,动态命中率和运行时间分别为90.6%和20.8 s,相对T-Gadget Inspector和Gadget Inspector有效提高了静态和动态命中率,缩短了动态运行时间。

XML数据绑定及对象序列化的应用研究

分析研究了JAVA序列化和XML数据绑定的技术,突出了XML数据绑定在大多数场合上的应用优势。并且在一个电子政务的项目中,实现了XML数据绑定的模型。

Java反序列化漏洞探析及其修复方法研究

为避免利用Java反序列化漏洞影响企业核心业务、产生重大信息安全事件,详细介绍了Java反序列化漏洞的背景、原理、漏洞利用方法及工具,通过一个具体实例给出利用该漏洞进行服务器主机系统提权的详细步骤,并提出了多种漏洞修复方法。

Java Web反序列化网络安全漏洞分析

Web应用的网络安全漏洞层出不穷,用户的隐私和数据等信息安全问题面临着严重威胁。反序列化漏洞因其利用门槛低、影响范围广的特点,已成影响Java Web网络安全重要因素之一。文章结合实例分析了Java Web反序列漏洞的特点,阐述了Java Web反序列化网络安全漏洞分析、代码审计的基本思路,对于有效识别和修复反序列化漏洞,保障网络安全具有参考意义。

基于Java代理和HTTP协议的RMI框架的实现

代理模式为其他对象提供一种代理以控制对目标对象的访问,Java动态代理则为代理模式提供了一种简单易用的框架。基于HTTP协议的Java对象隧道技术实现对象消息传递,可以方便地把这个技术集成到应用系统中。在介绍Java代理模式和基于HTTP协议的Java对象隧道技术的基础上,提出了基于二者的一种RMI框架的设计与实现。该框架不但可以穿越企业内外网防火墙,而且使得部署RMI应用与普通Web应用一样简单。

Java数字签名在公文传输中的应用

随着OA技术在企业中的广泛应用,如何保障电子公文的完整性、惟一性、可追溯性问题,是电子政务中的研究热点和难点之一。针对上述问题,实现了一种用于解决电子公文防窜改、防抵赖,防仿冒的公文传输系统;针对该系统中的关键技术:消息摘要、数字签名等技术进行了详细的论述;使用Java序列化技术将公钥保存在关系数据库中改变了公钥由CA中心分发的传统方法,进一步优化了系统部署时间和成本。

Java反序列化漏洞自动检测脚本设计

Java反序列化漏洞会导致远程恶意代码执行。Java的序列化机制允许客户端程序将对象数据格式化为二进制数据流,在服务器端解析二进制流还原为对象。Apache Commons Collections类库的使用使反序列化方法未能对用户数据做有效过滤,导致攻击者可以在对象属性中构造恶意代码,通过反射机制在服务器端口执行代码进而控制服务器。本文以JBoss服务器为例设计自动化检测脚本,判断指定主机是否存在漏洞,并通过了实际测试。