Похек

🖥 Basic Java Deserialization (2 part)

Теперь поговорим о том, как защищаться от десериализации

Пример безопасного кода:

import java.io.*;
import java.net.ServerSocket;
import java.net.Socket;
import java.util.HashSet;
import java.util.Set;

public class SecureServer {
    private static final Set<String> ALLOWED_CLASSES = new HashSet<>();
    static {
        ALLOWED_CLASSES.add("java.lang.String");
        ALLOWED_CLASSES.add("java.util.ArrayList");
    }

    public static void main(String[] args) {
        try (ServerSocket serverSocket = new ServerSocket(1234)) {
            System.out.println("Сервер запущен. Ожидание подключений...");
            while (true) {
                try (Socket clientSocket = serverSocket.accept();
                     ObjectInputStream ois = new ObjectInputStream(clientSocket.getInputStream()) {
                         @Override
                         protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {
                             if (!ALLOWED_CLASSES.contains(desc.getName())) {
                                 throw new InvalidClassException("Недопустимый класс", desc.getName());
                             }
                             return super.resolveClass(desc);
                         }
                     }) {
                    
                    Object obj = ois.readObject();
                    System.out.println("Получен объект: " + obj);
                    
                } catch (Exception e) {
                    e.printStackTrace();
                }
            }
        } catch (IOException e) {
            e.printStackTrace();
        }
    }
}

Исправления:
➡️Создан белый список разрешенных классов (ALLOWED_CLASSES).
➡️Переопределен метод resolveClass для проверки классов перед десериализацией.
➡️Выбрасывается исключение при попытке десериализовать недопустимый класс.

Также есть другие практики по защите от десеров. К примеру Java SecurityManager, transient. С другой стороны вы можете закостылить защиту через сторонние библиотеки: SerialKiller, fastjson2, YamlBeans

➡️ В завершение хочу сказать, что если вы нашли у меня ошибку, напишите об этом, пожалуйста в комментариях)
➡️ А если вам понравилось и вы хотите продолжить изучение, то предлагаю почитать Java Deserialization Cheat Sheet

🌚

@poxek | 📺 RuTube | 🌚 Мерч Похек

Please open Telegram to view this post

VIEW IN TELEGRAM

2🔥11👍21

5.72K viewsСергей Зыбнев, 09:01