不安全反序列化是一种针对 Web 应用程序和 API 的许多攻击链的一部分的漏洞，。易受攻击的应用程序将在不验证数据的情况下加载数据，从而允许攻击者操纵反序列化过程并执行恶意代码。虽然不安全反序列化并不总是作为独立漏洞报告，但可能会对网络安全造成严重后果，包括远程代码执行 (RCE)、拒绝服务 (DoS) 和身份验证绕过。

什么是序列化和反序列化?

每个应用程序都需要存储和传输数据，通常包括内部应用程序对象。序列化是将对象转换为字节流或其他格式(如 JSON、XML、YAML 或特定于语言的格式)以便存储或传输的对象的过程。例如，游戏可能只需序列化其内部状态并将其存储在单个文件或数据库对象中以供稍后加载来保持当前进程。

反序列化是获取序列化项(以任何格式)并将其转换回内部应用程序对象的过程。反序列化是在不同系统和环境之间传输数据结构的常规和必要部分，尤其是在处理 API 时，但是隐式地信任正在反序列化的数据可能会带来严重的安全风险。

为什么会出现不安全的反序列化漏洞

当应用程序在没有充分验证的情况下反序列化数据时，会发生不安全的反序列化。在这些情况下，攻击者可以构建序列化数据，这些数据在反序列化时会执行恶意代码或产生其他有害影响。不安全的反序列化曾在2017年OWASP TOP10中排到第8，足以说明其风险严重性。

由于这是一个信任和验证问题，而不是任何特定的安全缺陷，因此许多编程语言和序列化格式都可能存在不安全的反序列化。

不安全反序列化可能引起的攻击

不安全的反序列化可能是许多攻击链的一部分，具体取决于特定应用程序如何处理反序列化以及它包含的其他漏洞。一般来说，任何注入攻击都是可能的，从 SQL 注入或跨站点脚本 (XSS) 开始，以泄露敏感信息或篡改存储的数据，但不安全反序列化的更严重后果包括：

远程代码执行：通过注入恶意序列化数据，攻击者可以在服务器上执行任意代码，从而获得对系统的完全控制权。

拒绝服务：通过构造特殊的对象导致应用崩溃，造成服务不可用。

身份验证绕过：在某些情况下，反序列化的对象可能包含影响身份验证/授权过程的信息(令牌或会话数据)。攻击者可以篡改序列化数据，以绕过身份验证检查并访问应用程序的受保护区域。

对象注入：在对象注入攻击中，攻击者修改序列化对象以改变反序列化后的应用程序行为，例如更改用户权限或修改数据结构。

减少不安全的反序列化漏洞

减少不安全的反序列化攻击需要仔细的输入验证和数据验证。以下是一些缓解措施：

验证序列化数据：对所有反序列化数据进行严格的输入验证，确保数据的来源可靠且不包含恶意数据。可以使用白名单机制来限制可以接受的序列化数据的类型和格式。

避免反序列化不受信任的数据：如果可以的话，不要反序列化来自不受信任的来源的数据，尤其是来自外部 API 的用户输入或数据。

使用更安全的序列化库：选择具有良好安全记录的库，并保持更新。避免使用已知存在漏洞的序列化/反序列化库。

限制反序列化的类：一些编程语言和框架提供了限制反序列化的类的功能，开发人员应该使用这些功能来限制可以实例化的类的范围，以减少潜在的安全风险。

实施访问控制：限制对反序列化过程的访问，并确保应用程序在反序列化过程中以最低权限运行，以降低提权或 RCE 的风险。

代码审计：进行代码安全审计，查找和修复潜在的反序列化问题。

安全编码实践：遵循安全编码实践，避免在代码中留下潜在的安全漏洞，例如避免在代码中硬编码敏感信息，使用安全的加密算法和密码管理方案等。

更新和修补：更新应用程序和库到最新版本，修补已知的漏洞。

监控和修补依赖项：与所有其他漏洞一样，定期检查和更新应用程序的依赖项，尽可能降低第三方库引入不安全反序列化漏洞的风险。