java反序列化

详解：Java反序列化即，由字节流还原成对象。ObjectInputStream类的readObject()方法用于反序列化。因此要利用Java反序列化漏洞，需要在进行反序列化的地方传入攻击者的序列化代码。Oracle WebLogic Server 10.3.6.0, 12.1.3.0, 12.2.1.0和12.2.1.1版本存在反序列化远程命令执行漏洞，恶意人员可以通过构造恶意请求报文远程执行命令。

利用：同样的java反序列化漏洞，也存在于Jboss、Websphere、Jenkins容器中。可利用java反序列化测试工具进行测试。