反序列化漏洞
反序列化漏洞
引言
Apache Commons Collections反序列化漏洞（CVE-2015-4852）公开了Java生态中潜藏十载的致命攻击范式。研究团队开创性地构建 InvokerTransformer 与 TransformedMap 的 Gadget 链，通过反序列化操作实现跨协议 RCE ，将对象序列化这一基础通信机制转化为系统性安全威胁的放大器。这场“二进制风暴”不仅撕开了 Java 企业级应用的防护壁垒，更重塑了整个生态对序列化安全性的认知维度。
以此为分水岭，Java 安全生态遭遇连锁式冲击波。WebLogic（CVE-2016-0638）、WebSphere(CVE-2020-4450 ) 等中间件的反序列化漏洞相继曝光，暴露出企业基础设施的"协议信任危机"。
伴随 ysoserial 、marshalsec 等武器化工具的迭代升级，攻击向量突破Java原生序列化边界，向JSON/XML等数据交换格式（Fastjson CVE-2017-18349、XStream CVE-2021-39144）发起降维打击。而内存马等无文件攻击技术的衍生，则标志着反序列化漏洞利用正式进入对抗检测的隐蔽作战阶段。
这场持续十年的攻防博弈，本质上是安全范式与技术哲学的多重较量：防御方从初期的黑名单修补（SerialKiller）与流量数据包检测进化至JEP 290机制驱动的全局序列化过滤器以及使用RASP技术进行多层防御，攻击方则不断挖掘新型Gadget链突破防御边界；安全社区推动着从 Commons Collections 组件加固到 JDK 层防御体系的构建，而攻击者持续探索着 Fastjson 、Hessian 等其他序列化实现的逻辑缺陷。每一次攻防技术的代际跃迁，都在重新定义着 Java 反序列化安全的攻防博弈图谱。
TODO: 全文比较长，择日抽时间看看