如何避免序列化安全漏洞

避免序列化安全漏洞的核心在于将反序列化操作视为“不可信输入”，并遵循**“不反序列化不可信数据”**的原则。如果必须处理外部数据，应严格限制可反序列化的类、使用安全替代方案（如 JSON）以及实施严格的输入校验。

以下是具体的防御策略，按优先级排列：

1. 核心原则：避免反序列化不可信数据

这是最根本的解决方案。如果可能，永远不要反序列化来自网络、文件上传或用户输入的字节流。

• 使用安全的数据格式：优先使用 JSON、XML 或 YAML 等文本格式，并确保使用安全的解析库（如 Jackson、Gson），且配置为禁止解析多态类型或执行任意代码。

2. 技术层面的防御措施

A. 限制反序列化白名单 (Look-Ahead Verification)

不要依赖黑名单（黑名单很难维护且容易被绕过），而是使用白名单。

• Java (ObjectInputStream)：重写 resolveClass 方法，只允许特定的安全类被反序列化。

  // 示例：只允许特定类通过
  @Override
  protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {
      if (!desc.getName().equals("com.example.SafeClass")) {
          throw new InvalidClassException("Unauthorized deserialization attempt", desc.getName());
      }
      return super.resolveClass(desc);
  }
  

• 使用安全库：对于 Java，可以使用 SerialKiller 或 Kryo 等库，它们提供了更严格的类过滤机制。

B. 避免危险的特性

• 禁用自动类型识别：在 JSON 库中（如 Jackson），禁用 enableDefaultTyping（多态类型处理），因为它允许攻击者指定任意类进行实例化。
• 移除危险方法：确保实体类没有重写 readObject、readExternal 或 finalize 方法，除非经过严格审计。

C. 实施完整性校验与加密

如果数据必须在网络上传输，不要只依赖序列化本身的安全性。

• 数字签名：在序列化数据前对其进行签名，反序列化前验证签名。如果签名不匹配，拒绝处理。
• 加密传输：使用 TLS/SSL 传输数据，防止中间人攻击篡改序列化流。

D. 最小权限原则

• 沙箱运行：如果必须反序列化，尝试在权限受限的环境中运行代码，限制其对文件系统和网络的访问。
• 不要以高权限运行：避免以 root 或管理员权限运行反序列化进程。

3. 代码与架构层面的修复

4. 针对特定语言的配置

• Java:
  • 升级 JDK。高版本 JDK 引入了 ObjectInputFilter API，允许更细粒度地控制反序列化过程。
  • 避免使用 Apache Commons Collections 等历史上存在大量反序列化 Gadget 的库，或者升级到已修复的版本。
• PHP:
  • 避免使用 unserialize() 处理用户输入。
  • 使用 json_decode() 替代。
• Python (Pickle):
  • 绝对不要 unpickle 来自不可信来源的数据。Python 官方文档明确指出 Pickle 不安全。
  • 使用 json 模块替代。

5. 供应链安全

• 依赖扫描：使用工具（如 OWASP Dependency-Check, Snyk）扫描项目依赖，确保没有使用包含已知反序列化漏洞的库（例如旧版本的 Log4j、Fastjson、Jackson-databind）。
• 及时更新：及时修补第三方库的反序列化漏洞。

总结

最安全的做法是彻底放弃对不可信数据进行原生反序列化。如果业务必须，请务必配置严格的白名单过滤器，并结合签名验证和安全替代格式（如 JSON + 强类型校验）来构建防御体系。