Java反序列化漏洞自动检测脚本设计  

作　　者：钱劼 雷敏[1,2] 邹仕洪[1,2] 

机构地区：[1]北京邮电大学,北京100876 [2]灾备技术国家工程实验室,北京100876

出　　处：《网络安全技术与应用》2017年第8期66-68,共3页Network Security Technology & Application

基　　金：国家科技支撑计划课题资助(编号:2015BAH08F02)

摘　　要：Java反序列化漏洞会导致远程恶意代码执行。Java的序列化机制允许客户端程序将对象数据格式化为二进制数据流,在服务器端解析二进制流还原为对象。Apache Commons Collections类库的使用使反序列化方法未能对用户数据做有效过滤,导致攻击者可以在对象属性中构造恶意代码,通过反射机制在服务器端口执行代码进而控制服务器。本文以JBoss服务器为例设计自动化检测脚本,判断指定主机是否存在漏洞,并通过了实际测试。

关 键 词：Java反序列化 远程代码执行 自动检测 

分 类 号：TP312.2[自动化与计算机技术—计算机软件与理论]