为什么要序列化内存中的字典、列表、集合以及各种对象，如何保存到一个文件中。设计一套协议，按照某种规则，把内存中的数据保存到文件中，文件是一个个字节序列。所以必须把数据额转换为字节序列，输出到文件，这就是序列化，反之，从文件的字节 序列恢复到内存中，就是反序列化。1、定义Serialization系列化，将内存中对象存储下来，把他变成一个个字节。二进制。deSerialization反序列化，将文件
转载
2023-08-21 19:29:25
93阅读
0x01 概述什么程序存在漏洞：使用了PyYAML这个库并且使用了yaml.load而不是yaml.safe_load函数来解析yaml文件的程序代码审计关键词：import yamlyaml.load(已知相关漏洞：Remote Code Execution Vulnerability in Ansible-Vault Library. (CVE-2017-2809)
https://pypi.
转载
2023-11-28 20:14:13
17阅读
json作用：用来保存当前状态 1、使用json.dumps序列化把dic字典存到文件中dic={'name':'egon','age':18}
print(json.dumps(dic)) #得到一个json格式的字典{"name": "egon", "age": 18} 格式字符串格式
with open('a.json','w') as f:
f.write(
转载
2023-06-11 19:54:42
186阅读
前言# 上面看完，请忽略下面的内容Python 中有很多能进行序列化的模块，比如 Json、pickle/cPickle、Shelve、Marshal一般 pickle 模块较常使用 在 pickle 模块中 , 常用以下四个方法pickle.dump(obj, file) : 将对象序列化后保存到文件pickle.load(file) : 读取文
转载
2023-08-22 21:19:39
16阅读
变量从内存中变成可存储或传输的过程称之为序列化。序列化之后，就可以把序列化后的内容写入磁盘，或者通过网络传输到别的机器上。叫pickling。把python的对象编码转换为json格式的字符串
转载
2023-08-02 08:18:51
144阅读
详解Python 序列化Serialize 和 反序列化Deserialize详解Python 序列化Serialize 和 反序列化Deserialize序列化 (serialization)序列化是将对象状态转换为可保持或传输的格式的过程。与序列化相对的是反序列化，它将流转换为对象。这两个过程结合起来，可以轻松地存储和传输数据。序列化和反序列化的目的1、以某种存储形式使自定义对象持久化；2、将
转载
2023-11-05 18:39:28
192阅读
反序列化漏洞PHP反序列化漏洞也叫PHP对象注入，是一个非常常见的漏洞，这种类型的漏洞虽然有些难以利用，但一旦利用成功就会造成非常危险的后果。漏洞的形成的根本原因是程序没有对用户输入的反序列化字符串进行检测，导致反序列化过程可以被恶意控制，进而造成代码执行、getshell等一系列不可控的后果。反序列化漏洞并不是PHP特有，也存在于Java、Python等语言之中，但其原理基本相通。反序列化函数：
转载
2023-12-18 22:40:14
56阅读
| JSON | Python |
| ------------------- | ------------ |
| object | dict （集合） |
| array | list 列表 |
| string | str |
转载
2023-06-21 16:29:20
211阅读
0x00 前记前些时间看了看python pickle的源码，研究了一下一些利用方式，这里总结分享一下反序列化漏洞的一些利用方式，如果本文有错误的地方请各位师傅不吝赐教。漏洞原理就不再赘述了，可以看看关于python sec的简单总结这篇文章。0x01 基础利用通常我们利用__reduce__函数进行构造，一个样例如下：#!/usr/bin/env python
# encoding: utf-8
转载
2023-10-16 18:35:37
8阅读
文章目录序列化就是将python中的字典转换为一种特殊的字符串（json）那么反序列化就是，将json字符串转换为python字典想输出真正的中文需要指定ensure_ascii=False,,还可以使用排序sort_keys,缩进:indent1.json.dumps()用于将dict类型的数据转成str2. 、json.dump()用于将dict类型的数据转成str，并写入到json文件中。
转载
2023-08-09 15:08:03
60阅读
阅读：1,806序列化就是把对象转换成字节流，便于保存在内存、文件、数据库中；反序列化即逆过程，由字节流还原成对象。Java中的ObjectOutputStream类的writeObject()方法可以实现序列化，类ObjectInputStream类的readObject()方法用于反序列化。比如你可以将字符串对象先进行序列化，存储到本地文件，然后再通过反序列化进行恢复。事件介绍2015年11月
转载
2023-10-15 01:24:07
10阅读
一、pickle模块 1、pickle模块存储到变量：（二进制） （1）存，pickle.dumps(object)：序列化为二进制 将数据转为二进制（序列化）进行存储 例子： &
转载
2023-12-07 01:07:36
164阅读
python: 序列化/反序列化,以及漏洞思考一、序列化/反序列化python中内置了很多序列化/反序列化的方式，最常用的有json、pickle、marshal这三种，示例用法如下：import json
import pickle
import marshal
author1 = {"name": "Shanshanyuan", "blog": "", "title": "架构师", "p
转载
2023-11-27 21:00:11
36阅读
一、基础1、序列化与反序列化序列化：指将结构化的数据按一定的编码规范转成指定格式的过程；反序列化：指将转成指定格式的数据解析成原始的结构化数据的过程；举个例子：Person是一个表示人的对象类型，person是一个Person类型的对象，将person存到一个对应的XML文档中的过程就是一种序列化，而解析XML生成对应Person类型对象person的过程，就是一个反序列化的过程。在这里结构化数据
转载
2023-09-27 13:12:15
291阅读
0x00 简介反序列化学习主要用到如下资料：1..NET反序列化payload生成工具ysoserial.net。2.attacking-net-serialization其中列举了多种反序列化漏洞。3.BH_US_12_Forshaw_Are_You_My_Type_WP.pdf0x01 XmlSerializer序列化System.Xml.Serialization.XmlSerializer
转载
2023-12-11 20:46:31
11阅读
Typecho反序列化导致前台 getshell 漏洞复现 漏洞描述：Typecho是一款快速建博客的程序，外观简洁，应用广泛。这次的漏洞通过install.php安装程序页面的反序列化函数，造成了命令执行。 影响范围：理论上这个漏洞影响Typecho 1.1(15.5.12)之前的版本 首先我还是记录一下敏感目录http://127.0.0.1/typecho0.9
转载
2023-05-31 15:18:22
126阅读
Marshmallow，中文译作：棉花糖。是一个轻量级的数据格式转换的模块，也叫序列化和反序列化模块，常用于将复杂的orm模型对象与python原生数据类型之间相互转换。marshmallow提供了丰富的api功能。如下：Serializing序列化[可以把数据对象转化为可存储或可传输的数据类型，例如：objects/object->list/dict，dict/list->strin
转载
2024-04-28 13:26:15
95阅读
前言：没技术，是菜逼。python反序列化简介与利用：相较于php的反序列化，python的反序列化更容易利用，危害也更大。在php的反序列化漏洞利用中我们必须挖掘复杂的利用链，但python的序列化和反序列化中却不需要那么麻烦，因为python序列化出来的是pickle流，这是一种栈语言，python能够实现的功能它也能实现，引用一下pickle的简介。先来看一些示例：import pickle
转载
2024-07-29 19:59:21
127阅读
在程序运行的过程中，所有的变量都是在内存中，比如，定义一个dict：d = dict(name='Bob', age=20, score=88)name改成'Bill'，但是一旦程序结束，变量所占用的内存就被操作系统全部回收。如果没有把修改后的'Bill'存储到磁盘上，下次重新运行程序，变量又被初始化为'Bob'。 我们把变量存储到磁盘的过程称之为序列化，在Python中叫pickling，在其
转载
2023-10-23 10:04:09
17阅读
我们的网络协议一般是把数据转换成JSON之后再传输。之前在Java里面，实现序列化和反序列化，不管是 jackson ,还是 fastjson 都非常的简单。现在有项目需要用Python来开发，很自然的希望这样的便利也能在Python中体现。但是在网上看了一些教程，讲反序列化的时候，基本都是转换为 dict 或者 array 。这种编程方式我从情感上是无法接受的。难道是这些JSON库都不支持反序列
转载
2023-10-27 14:36:06
61阅读
