wgpsec Java 序列化类漏洞源码审计
本 skill 聚焦源码层面判断"反序列化/XXE/SSTI 是否成立"，核心工作是：白盒确认反序列化入口点、追踪数据来源、评估 classpath 中可用 Gadget 链、验证 XML 解析器安全配置、检查模板引擎渲染上下文。构造 exploit payload、远程利用链发送等运行时黑盒技术属于对应 exploit skill 范畴。
深入参考
- 3 类漏洞的危险模式 / 安全模式代码对比 / Gadget 依赖表 / EVID 证据示例 → references/serialization-patterns.md
3 类漏洞速查表
| 类型 | 典型 Sink | 利用条件 | 严重度 |
|---|---|---|---|
| Java 反序列化 | ObjectInputStream.readObject(), XMLDecoder.readObject() |
用户可控序列化流 + classpath 存在可用 Gadget Chain | Critical |
| XXE | DocumentBuilderFactory, SAXParser, XMLInputFactory, TransformerFactory, SchemaFactory |
外部实体/DTD 未禁用 + 用户可控 XML 输入 | High-Critical |
| SSTI | Velocity.evaluate, FreeMarker Template, Thymeleaf 预处理表达式 |
用户输入直接进入模板编译/渲染上下文 | Critical |
Java 反序列化审计要点
- 入口点识别:
ObjectInputStream.readObject()、ObjectInputStream.readUnshared()、XMLDecoder.readObject()、自定义readObject/readResolve/readExternal实现中的额外攻击面 - 数据来源追踪: HTTP 请求 body（魔术字节
AC ED 00 05或 Base64 编码rO0AB）、RMI/JMX 远程调用、JMS 消息队列、Redis/Memcached 缓存反序列化、文件读取、ViewState、Cookie/Session 序列化存储 - Gadget 可用性评估: 检查
pom.xml/build.gradle及 classpath 中是否存在已知 Gadget 链的依赖库（commons-collections 3.x/4.x、commons-beanutils、spring-core、Groovy、hibernate-core 等），版本是否在受影响范围内 - 防御机制验证: JEP 290
ObjectInputFilter是否配置、白名单 vs 黑名单策略、SerialKiller/NotSoSerial等第三方防护库是否启用、resolveClass是否被重写为白名单校验 - readResolve/readObject 自定义逻辑: 即使不存在通用 Gadget，自定义反序列化方法中的文件操作、网络请求、动态类加载等行为也构成攻击面
XXE 审计要点
- 5 种 XML 解析器安全配置:
DocumentBuilderFactory:setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)SAXParserFactory: 同上 +setFeature("http://xml.org/sax/features/external-general-entities", false)+setFeature("http://xml.org/sax/features/external-parameter-entities", false)XMLInputFactory(StAX):setProperty(XMLInputFactory.SUPPORT_DTD, false)+setProperty(XMLInputFactory.IS_SUPPORTING_EXTERNAL_ENTITIES, false)TransformerFactory:setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "")+setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "")SchemaFactory:setProperty(XMLConstants.ACCESS_EXTERNAL_SCHEMA, "")+setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, "")
- 数据流分析: XML 输入来源（HTTP 请求体、文件上传、SOAP 消息、SVG/Office 文件） → 进入解析器 → 解析结果回显（直接 XXE）或无回显（盲注/带外 OOB）
- Java 特有协议:
jar:协议可触发远程文件下载与解压、netdoc:协议（旧版 JDK）等价于file://
模板注入 SSTI 审计要点
- Velocity:
Velocity.evaluate(context, writer, tag, userTemplate)— 若userTemplate参数用户可控则直接 RCE - FreeMarker:
new Template("t", new StringReader(userInput), cfg).process(dataModel, writer)— 用户输入作为模板源编译即危险 - Thymeleaf: 控制器返回值拼接导致 SSTI，
return "user/" + input时 input 可注入__${expr}__预处理表达式触发 SpEL → RCE - 安全模式: 模板名/路径白名单、FreeMarker 设置
TemplateClassResolver.ALLOWS_NOTHING_RESOLVER禁用?new()内建函数、Velocity 使用SecureUberspector、Thymeleaf 限制视图名不可拼接用户输入
检测清单
- 所有
ObjectInputStream.readObject()/XMLDecoder.readObject()调用点已逐一审查 - 反序列化入口的数据来源（HTTP/RMI/JMS/缓存/文件）已追踪确认
- classpath 依赖已检查是否包含已知 Gadget Chain 库及其受影响版本
- JEP 290 ObjectInputFilter / SerialKiller / 白名单 resolveClass 等防御机制已验证
- 自定义 readObject/readResolve 方法中的额外攻击面已排查
- 5 种 XML 解析器的安全 Feature 配置已逐一确认
- XML 输入来源（请求体/上传/SOAP/SVG）及回显方式已分析
- Velocity/FreeMarker/Thymeleaf 模板渲染入口的用户输入可控性已检查
- 模板引擎安全模式（沙箱/白名单/禁用危险函数）已验证
- 严重度评分使用了统一公式，与 pipeline 一致