[Java知识库] JAVA反序列化（还是不太懂）

开发: C++知识库 Java知识库 JavaScript Python PHP知识库人工智能区块链大数据移动开发嵌入式开发工具数据结构与算法开发测试游戏开发网络协议系统运维
教程: HTML教程 CSS教程 JavaScript教程 Go语言教程 JQuery教程 VUE教程 VUE3教程 Bootstrap教程 SQL数据库教程 C语言教程 C++教程 Java教程 Python教程 Python3教程 C#教程
数码: 电脑笔记本显卡显示器固态硬盘硬盘耳机手机 iphone vivo oppo 小米华为单反装机图拉丁

-> Java知识库 -> JAVA反序列化（还是不太懂） -> 正文阅读

[Java知识库]JAVA反序列化（还是不太懂）

JAVA反序列化

在这里插入图片描述
函数
序列化writeObject
反序列化readObject()

序列化和反序列化

序列化 将对象的状态信息转换为可以存储或者传输的过程。在序列化期间，对象将其当前状态写入到临时或持久性存储区
反序列化从存储区读取数据，比起能够将其还原为对象的过程
在这里插入图片描述

演示

一、序列化和反序列化

在写反序列化时报错readObject()函数不存在，所以本人只弄成了序列化
直接上java代码
首先需要一个User类，这个就不上传代码了，我的代码会在桌面的1.txt文件中写入序列化后内容

import java.io.*;

public class serialize {
    private static void serializeUser() throws IOException {
        //序列化
        User user = new User("hyj",22,"男",12);
        ObjectOutputStream oos = new ObjectOutputStream(new FileOutputStream(new File("C:\\Users\\houyanjun\\Desktop\\1.txt")));
        oos.writeObject(user);
        System.out.println("user序列化成功");
        oos.close();
    }
    //反序列化
    //不知道为什么反序列化没有成功，没有找到代码错误的原因
    private static void deserializeUser() throws IOException {
        ObjectInputStream ois = new ObjectInputStream(new FileInputStream("C:\\Users\\houyanjun\\Desktop\\1.txt"));
        try {
            User user_1 = (User) ois.readObject();
            System.out.println("user反序列化成功");
            System.out.println(user_1);
            ois.close();
        } catch (ClassNotFoundException e) {
            e.printStackTrace();
        }
    }


    public static void main(String[] args) throws IOException {
        serializeUser();
    }
}
}

运行后生成的序列化内容
在这里插入图片描述

二、WebGoat_Javaweb 靶场反序列化测试（测试失败）

参考再来一次

下面的特征可以作为序列化的标志特征参考
一段数据以rO0AB开头，那么基本可以确定这串就是JAVA序列化base64加密的结果。
或者如果以aced开通，那么它就是一段java序列化的16进制

我直接用的docker
安装命令

docker pull webgoat/webgoat-8.0
docker run -d -p 8080:8080 webgoat/webgoat-8.0:latest

浏览器输入http://192.168.72.15:8080/WebGoat/login即可访问
进入如下关卡
在这里插入图片描述
随便输入内容
发现序列化对象rO0ABXQAVklmIHlvdSBkZXNlcmlhbGl6ZSBtZSBkb3duLCBJIHNoYWxsIGJlY29tZSBtb3JlIHBvd2VyZnVsIHRoYW4geW91IGNhbiBwb3NzaWJseSBpbWFnaW5l这是被base64加密的版本
因此如果要输入payload的话，就必须先进行
如：ifconfig -> 序列化->base64加密
暂时先停在这，有时间再继续把