XStream反序列化

最新推荐文章于 2025-03-20 11:00:43 发布

Finlinlts

最新推荐文章于 2025-03-20 11:00:43 发布

阅读量1.8k

点赞数

文章标签：安全漏洞

本文链接：https://blog.youkuaiyun.com/Finlinlts/article/details/120578742

版权

本文介绍了XStream库在Java中的作用及其序列化特性，详细讲解了CVE-2019-10173漏洞的原理，指出由于安全模式默认未开启，使得防御措施失效。此外，还讨论了2020年的CVE-2020-26258和CVE-2020-26259，这两个漏洞允许远程攻击者通过构造特定序列化数据执行SSRF和任意文件删除攻击。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

概述

XStream是Java类库，用来将对象序列化成XML(JSON)或反序列化为对象。XStream在运行时使用Java反射机制对要进行序列化的对象树的结构进行探索，并不需要对对象作出修改。XStream可以序列化内部字段，包括私private和final字段，并且支持非公开类以及内部类。在缺省情况下，XStream不需要配置映射关系，对象和字段将映射为同名XML元素。但是当对象和字段名与XML中的元素名不同时，XStream支持指定别名。XStream支持以方法调用的方式，或是Java标注的方式指定别名。XStream在进行数据类型转换时，使用系统缺省的类型转换器。同时，也支持用户自定义的类型转换器。

CVE-2019-10173

包含类型信息的流在unmarshalling时，会再次创建之前写入的对象。因此XStream会基于这些类型信息创建新的实例。攻击者可以操控XML数据，将恶意命令注入在在可以执行任意shell命令的对象中，实现漏洞的利用。

该漏洞原本是CVE-2013-7285，然而在com.thoughtworks.xstream.converters.reflection.ReflectionConverter类中，canConvert方法中的type != eventHandlerType被删除了，使得原来的漏洞利用方式可以再次被利用。由于在Xstream1.4.10中的com.thoughtworks.xstream.XStream类增加了setupDefaultSecurity()方法和InternalBlackList转换器，通过黑名单的形式对漏洞进行防御。但是安全模式默认不开启，

最低0.47元/天解锁文章