Oj库反序列化攻击面分析  

作　　者：吴红 

机构地区：[1]国网眉山供电公司,四川620010

出　　处：《网络安全技术与应用》2022年第3期46-48,共3页Network Security Technology & Application

摘　　要：Oj是一个快速的JSON解析Ruby库,由于它极其高效且易用,根据Github统计,有上万项目以其作为依赖项。Oj库默认使用一个类型系统来解析Ruby对象,这允许应用代码在反序列化JSON字符串时恢复原始的对象,但这种能力可能导致安全漏洞,如远程代码执行或拒绝服务。本文将分析Oj库反序列化时可能造成的漏洞,并给出消除此类漏洞的建议。

关 键 词：Oj 反序列化漏洞 类型系统 

分 类 号：TP309[自动化与计算机技术—计算机系统结构]