悠悠楠杉
网站页面
Java对象序列化与反序列化的安全风险及防范措施
07/19
一、序列化技术的基础认知
Java序列化（Serialization）本质是将对象转换为字节流的过程，反序列化（Deserialization）则是逆向还原对象。这项技术广泛应用于：
- 分布式系统通信
- 对象持久化存储
- 跨JVM进程交互
通过实现Serializable接口即可启用该能力：
java
public class User implements Serializable {
private String username;
private transient String password; // 敏感字段标记为transient
}
二、深挖安全风险根源
1. 任意代码执行漏洞
攻击者通过构造恶意序列化数据，可触发以下危险操作：
- 利用ObjectInputStream自动执行readObject()方法
- 通过反射调用危险方法（如Runtime.exec()）
- 经典案例：Apache Commons Collections的反序列化漏洞（CVE-2015-4852）
2. 数据篡改风险
序列化流缺乏完整性校验时：
- 攻击者可修改序列化数据中的字段值
- 可能绕过业务逻辑校验（如修改订单金额）
3. 拒绝服务攻击(DoS)
精心构造的嵌套对象可能导致：
- 深度递归消耗栈空间
- 超大对象占用堆内存
- 示例：HashMap键值哈希冲突攻击
三、六维防御体系构建
1. 输入验证白名单
java
public class SafeObjectInputStream extends ObjectInputStream {
@Override
protected Class<?> resolveClass(ObjectStreamClass desc)
throws IOException, ClassNotFoundException {
if(!desc.getName().startsWith("com.safe.package")) {
throw new InvalidClassException("Unauthorized class");
}
return super.resolveClass(desc);
}
}
2. 替换默认反序列化机制
- 使用JSON/XML等安全格式（如Jackson、Gson）
- 性能对比：
| 格式 | 序列化速度 | 反序列化速度 | 数据体积 |
|-----------|----------|------------|--------|
| Java原生 | 快 | 快 | 大 |
| JSON | 中 | 中 | 中 |
| Protobuf | 最快 | 最快 | 最小 |
3. 加密与签名方案
java
// 使用AES加密序列化流
Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
cipher.init(Cipher.ENCRYPT_MODE, secretKey);
SealedObject sealedObject = new SealedObject(targetObj, cipher);
4. JVM层防护
启动参数添加：
-Djdk.serializationFilter=!java.util.HashSet,\
!org.apache.commons.collections.*
5. 运行时监控
java
static {
SecurityManager manager = new SecurityManager() {
public void checkPackageAccess(String pkg) {
if(pkg.startsWith("org.hacker")) {
throw new SecurityException();
}
}
};
System.setSecurityManager(manager);
}
6. 深度防御策略
- 使用
serialVersionUID控制版本兼容性 - 敏感字段标记
transient - 重写
readObject()添加校验逻辑
四、行业最佳实践
- 金融行业：采用FIPS 140-2认证的加密模块处理序列化数据
- 云计算平台：AWS等厂商采用证书签名验证AMI镜像
- 开源框架：Spring Boot默认禁用XML外部实体引用(XXE)
结语
Java序列化如同双刃剑，开发者需要：
1. 评估是否真的需要原生序列化
2. 采用最小权限原则设计反序列化逻辑
3. 建立持续的安全测试机制
"没有绝对安全的系统，只有不断演进的安全实践" —— 在深度防御体系中，技术方案需要与安全开发流程（SDL）相结合，才能构建真正的安全防线。
