当系统接收和处理外部输入的数据时，可能会通过反序列化过程执行恶意代码或操作。这个漏洞的根本原因在于，系统对反序列化数据的处理不够严格，导致攻击者能够将精心构造的数据注入到反序列化流程中，进而达到远程代码执行、数据篡改、权限提升等目的。
序列化与反序列化
- 序列化：将对象转换为字节流（例如 JSON、XML 、Protobuf等），以便存储或传输。常见的应用场景包括保存对象到文件、数据库，或将数据通过网络发送给其他系统。
- 反序列化：将字节流转换回原始对象的过程。通过反序列化，程序可以将接收到的数据恢复为对象结构。
常见反序列化漏洞的语言
- Java 反序列化漏洞： 在 Java 中，许多类库（如
ObjectInputStream）允许反序列化操作。如果不对输入的数据进行验证，攻击者可以构造一个恶意的序列化数据，利用 Java 对象中存在的漏洞（如不安全的反射或方法调用）执行恶意代码。例如，Commons Collections中的某些类可以被滥用，执行远程代码。 - PHP 反序列化漏洞： PH