不安全的反序列化（五）

WHY： 分布式应用程序或那些须要在客户端或文件系统上存储状态的程序，可能正在使用对象序列化，具备公共倾听器或依赖于客户端维护状态的分布式应用程序，极可能容许对序列化数据进行篡改。这种攻击可以使用于二进制格式，或基于文本的格式。 1，序列化机制容许建立任意数据类型； 2，有可用于将应用程序连接在一块儿的类，以反序列化期间或以后改变应用程序行为，或者使用非预期的内容来影响应用程序行为； 3，应用程序

>>阅读原文<<