wgpsec/java-serialization-audit

Java 序列化类漏洞源码审计

本 skill 聚焦源码层面判断"反序列化/XXE/SSTI 是否成立"，核心工作是：白盒确认反序列化入口点、追踪数据来源、评估 classpath 中可用 Gadget 链、验证 XML 解析器安全配置、检查模板引擎渲染上下文。构造 exploit payload、远程利用链发送等运行时黑盒技术属于对应 exploit skill 范畴。

深入参考

• 3 类漏洞的危险模式 / 安全模式代码对比 / Gadget 依赖表 / EVID 证据示例 → references/serialization-patterns.md

3 类漏洞速查表

| 类型 | 典型 Sink | 利用条件 | 严重度 | |------|-----------|----------|--------| | Java 反序列化 | ObjectInputStream.readObject(), XMLDecoder.readObject() | 用户可控序列化流 + classpath 存在可用 Gadget Chain | Critical | | XXE | DocumentBuilderFactory, SAXParser, XMLInputFactory, TransformerFactory, SchemaFactory | 外部实体/DTD 未禁用 + 用户可控 XML 输入 | High-Critical | | SSTI | Velocity.evaluate, FreeMarker Template, Thymeleaf 预处理表达式 | 用户输入直接进入模板编译/渲染上下文 | Critical |

Java 反序列化审计要点

• 入口点识别: ObjectInputStream.readObject()、ObjectInputStream.readUnshared()、XMLDecoder.readObject()、自定义 readObject/readResolve/readExternal 实现中的额外攻击面
• 数据来源追踪: HTTP 请求 body（魔术字节 AC ED 00 05 或 Base64 编码 rO0AB）、RMI/JMX 远程调用、JMS 消息队列、Redis/Memcached 缓存反序列化、文件读取、ViewState、Cookie/Session 序列化存储
• Gadget 可用性评估: 检查 pom.xml/build.gradle 及 classpath 中是否存在已知 Gadget 链的依赖库（commons-collections 3.x/4.x、commons-beanutils、spring-core、Groovy、hibernate-core 等），版本是否在受影响范围内
• 防御机制验证: JEP 290 ObjectInputFilter 是否配置、白名单 vs 黑名单策略、SerialKiller/NotSoSerial 等第三方防护库是否启用、resolveClass 是否被重写为白名单校验
• readResolve/readObject 自定义逻辑: 即使不存在通用 Gadget，自定义反序列化方法中的文件操作、网络请求、动态类加载等行为也构成攻击面

XXE 审计要点

• 5 种 XML 解析器安全配置:
  • DocumentBuilderFactory: setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)
  • SAXParserFactory: 同上 + setFeature("http://xml.org/sax/features/external-general-entities", false) + setFeature("http://xml.org/sax/features/external-parameter-entities", false)
  • XMLInputFactory (StAX): setProperty(XMLInputFactory.SUPPORT_DTD, false) + setProperty(XMLInputFactory.IS_SUPPORTING_EXTERNAL_ENTITIES, false)
  • TransformerFactory: setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "") + setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "")
  • SchemaFactory: setProperty(XMLConstants.ACCESS_EXTERNAL_SCHEMA, "") + setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, "")
• 数据流分析: XML 输入来源（HTTP 请求体、文件上传、SOAP 消息、SVG/Office 文件） → 进入解析器 → 解析结果回显（直接 XXE）或无回显（盲注/带外 OOB）
• Java 特有协议: jar: 协议可触发远程文件下载与解压、netdoc: 协议（旧版 JDK）等价于 file://

模板注入 SSTI 审计要点

• Velocity: Velocity.evaluate(context, writer, tag, userTemplate) — 若 userTemplate 参数用户可控则直接 RCE
• FreeMarker: new Template("t", new StringReader(userInput), cfg).process(dataModel, writer) — 用户输入作为模板源编译即危险
• Thymeleaf: 控制器返回值拼接导致 SSTI，return "user/" + input 时 input 可注入 __${expr}__ 预处理表达式触发 SpEL → RCE
• 安全模式: 模板名/路径白名单、FreeMarker 设置 TemplateClassResolver.ALLOWS_NOTHING_RESOLVER 禁用 ?new() 内建函数、Velocity 使用 SecureUberspector、Thymeleaf 限制视图名不可拼接用户输入

检测清单

• [ ] 所有 ObjectInputStream.readObject()/XMLDecoder.readObject() 调用点已逐一审查
• [ ] 反序列化入口的数据来源（HTTP/RMI/JMS/缓存/文件）已追踪确认
• [ ] classpath 依赖已检查是否包含已知 Gadget Chain 库及其受影响版本
• [ ] JEP 290 ObjectInputFilter / SerialKiller / 白名单 resolveClass 等防御机制已验证
• [ ] 自定义 readObject/readResolve 方法中的额外攻击面已排查
• [ ] 5 种 XML 解析器的安全 Feature 配置已逐一确认
• [ ] XML 输入来源（请求体/上传/SOAP/SVG）及回显方式已分析
• [ ] Velocity/FreeMarker/Thymeleaf 模板渲染入口的用户输入可控性已检查
• [ ] 模板引擎安全模式（沙箱/白名单/禁用危险函数）已验证
• [ ] 严重度评分使用了统一公式，与 pipeline 一致