Question

序列化是让 Java 对象脱离 Java 运行环境的一种手段，可以有效的实现多平台之间的通信、对象持久化存储。

1.1 相关方法

ObjectOutputStream 类的 writeObject() 方法可以实现序列化。按 Java 的标准约定是给文件一个 .ser 扩展名。

ObjectInputStream 类的 readObject() 方法用于反序列化。

1.2 序列化前提

实现 java.io.Serializable 接口才可被反序列化，而且所有属性必须是可序列化的（用 transient 关键字修饰的属性除外，不参与序列化过程)

1.3 漏洞成因

序列化和反序列化本身并不存在问题。但当输入的反序列化的数据可被用户控制，那么攻击者即可通过构造恶意输入，让反序列化产生非预期的对象，在此过程中执行构造的任意代码。

反序列化 payload 生成工具： https://github.com/frohoff/ysoserial/