Java反序列化如何快速审计，原生？组件？

2021-06-03 22:00:06 11 xiafine 6122

目前好像Java的漏洞主要分两种，一种是因为程序员由于编码不当产生的漏洞，典型包括后门、SQL注入、文件上传、任意文件下载、接口非授权访问、垂直越权、水平越权、XSS、CSRF、逻辑类漏洞这些；一类是第三方组件使用不当产生的漏洞，从POM文件中可以找到使用了低版本的组件。从应用配置文件中可以找到配置不当问题。但是不太清楚Java反序列化时如何快速审计出来的，原生和组件各是怎么快速审计出来的？大佬们麻烦指教一下

类别安全研究

关于作者

xiafine6篇文章67篇回复

xiafine

评论11次

要评论？请先登录或注册

TOP1

Au9999
2021-6-4 11:39

看你审什么了，审一些垃圾cms，就是老样子，黑白测试，玩组件得了解历史漏洞，慢慢积累

回复|@ta|踩(0)|顶(1)
TOP2

xidut00ls
2021-6-4 13:50

要快，就跟php一样，盯着几个关键字找，而且为了防止无用功，尽量先找可控参数。

回复|@ta|踩(0)|顶(1)
TOP3

Lucky_ljn
2021-6-4 16:00

可以看看法师那本书，php和java代码审计的思路都是一样的1、通读2、敏感函数找入参3、参数 - > 函数

回复|@ta|踩(0)|顶(1)
11楼

陌小皓
2021-6-10 10:25

1.从危险函数找 2.找过滤函数或者过滤机制 3.找路由机制

回复|@ta|踩(0)|顶(0)
10楼

Lucky_ljn
2021-6-10 10:16

sosohk：
有点老了吧？
回复|@ta
1

思路都是一样的

回复|@ta|踩(0)|顶(0)
9楼

sosohk
2021-6-9 22:14

有点老了吧？

回复|@ta|踩(0)|顶(0)
8楼

Sniper86
2021-6-9 22:12

组件和框架公开的cve是最快的,直接去跟进对应组件的触发点函数,还有就是顺手搜一下readObject等函数,跟进看看参数可不可控

回复|@ta|踩(0)|顶(0)
7楼

v1rusDay
2021-6-7 07:58

source->gadget->sink

回复|@ta|踩(0)|顶(0)
6楼

Lucky_ljn
2021-6-4 16:00

可以看看法师那本书，php和java代码审计的思路都是一样的 1、通读 2、敏感函数找入参 3、参数 - > 函数

回复|@ta|踩(0)|顶(1)
5楼

Whippet
2021-6-4 13:58

一般都是直接搜索关键字然后看参数是否可控

回复|@ta|踩(0)|顶(0)
4楼

xidut00ls
2021-6-4 13:50

要快，就跟php一样，盯着几个关键字找，而且为了防止无用功，尽量先找可控参数。

回复|@ta|踩(0)|顶(1)
3楼

Au9999
2021-6-4 11:39

看你审什么了，审一些垃圾cms，就是老样子，黑白测试，玩组件得了解历史漏洞，慢慢积累

回复|@ta|踩(0)|顶(1)
2楼

xiafine
2021-6-4 07:21

cnsn90：
直接搜关键字，如readObject()，然后回溯，看传入参数是否可控
回复|@ta
1

这个是快速审计原生的一条吧

回复|@ta|踩(0)|顶(0)
1楼

cnsn90
2021-6-3 22:18

直接搜关键字，如readObject()，然后回溯，看传入参数是否可控

回复|@ta|踩(0)|顶(0)