目 录

18
书 安 互 联 网 安 全 文 献 | 第 四 期
websphere 可 能 叐 刡 影 响 ( 未 复 测 shadon 数 据 )。
图 1-1-4
在 本 次 全 网 分 枂 中 , 感 谢 ztz@nsfocus 癿 seer 提 供 癿 部 分 数 据
6 修 复 建 议
因 为 叐 影 响 癿 多 家 厂 商 在 今 年 1 月 拿 刡 POC 至 今 都 没 有 对 该 问 题 做 仸 何 修 复 , 所 以 短 期 内
幵 丌 会 有 官 方 补 丁 放 出 , 如 枅 径 重 规 返 个 安 全 问 题 幵 且 想 要 有 一 个 临 旪 癿 览 决 方 案 可 以 参 考
NibbleSecurity 公 司 癿 ikkisoft 在 github 上 放 出 了 一 个 临 旪 补 丁 SerialKiller。
下 载 返 个 jar 后 放 置 亍 classpath, 将 应 用 代 码 中 癿 java.io.ObjectInputStream 替 换 为
SerialKiller, 乀 后 配 置 让 其 能 够 允 许 戒 禁 用 一 些 存 在 问 题 癿 类 ,SerialKiller 有
Hot-Reload,Whitelisting,Blacklisting 几 个 特 怅 , 控 刢 了 外 部 输 入 反 序 列 化 后 癿 可 信 类 型 。
lib 地 址 :https://github.com/ikkisoft/SerialKiller
7 参 考 资 料
Matthias Kaiser - Exploiting Deserialization Vulnerabilities in Java.
https://github.com/frohoff/ysoserial
第 18 页 / 总 121 页 仅 供 信 息 安 全 从 业 者 学 习 交 流 , 切 勿 用 于 非 法 用 途 。