序列化：把对象转换为字节序列的过程，即把对象转换为可以存储或传输的数据的过程。例如将内存中的对象转换为二进制数据流或文件，在网络传输过程中，可以是字节或是XML等格式。
反序列化：把字节序列恢复为对象的过程，即把可以存储或传输的数据转换为对象的过程。例如将二进制数据流或文件加载到内存中还原为对象。
反序列化漏洞首次出现在2015。虽然漏洞较新，但利用十分热门，主要原因还是太过信任客户端提交的数据，容易被开发者忽略，该漏洞一般都可执行任意命令或代码，造成的影响较大。
漏洞成因
在身份验证，文件读写，数据传输等功能处，在未对反序列化接口做访问控制，未对序列化数据做加密和签名，加密密钥使用硬编码（如Shiro 1.2.4），使用不安全的反序列化框架库（如Fastjson 1.2.24）或函数的情况下，由于序列化数据可被用户控制，攻击者可以精心构造恶意的序列化数据（执行特定代码或命令的数据）传递给应用程序，在应用程序反序列化对象时执行攻击者构造的恶意代码，达到攻击者的目的。
漏洞可能出现的位置
1.解析认证token、session的位置
2.将序列化的对象存储到磁盘文件或存入数据库后反序列化时的位置，如读取json文件，xml文件等
3.将对象序列化后在网络中传输，如传输json数据，xml数据等
4.参数传递给程序
5.使用RMI协议，被广泛使用的RMI协议完全基于序列化
6.使用了不安全的框架或基础类库，如JMX 、Fastjson和Jackson等
7.定义协议用来接收与发送原始的java对象
漏洞原理
在Python和PHP中，一般通过构造一个包含魔术方法（在发生特定事件或场景时被自动调用的函数，通常是构造函数或析构函数）的类，然后在魔术方法中调用命令执行或代码执行函数，接着实例化这个类的一个对象并将该对象序列化后传递给程序，当程序反序列化该对象时触发魔术方法从而执行命令或代码。在Java中没有魔术方法，但是有反射（reflection）机制：在程序的运行状态中，可以构造任意一个类的对象，可以了解任意一个对象所属的类，可以了解任意一个类的成员变量和方法，可以调用任意一个对象的属性和方法，这种动态获取程序信息以及动态调用对象的功能称为Java语言的反射机制。一般利用反射机制来构造一个执行命令的对象或直接调用一个具有命令执行或代码执行功能的方法实现任意代码执行。
PHP中常用魔术方法
__construct：当对象被创建时调用
__destruct：当对象被销毁前调用
__sleep：执行serialize函数前调用
__wakeup：执行unserialize函数前调用
__call：在对象中调用不可访问的方法时调用
__callStatic：用静态方法调用不可访问方法时调用
__get：获得类成因变量时调用
__set：设置类成员变量时调用使用下面代码创建一个类A并实例化一个对象a，然后输出序列化对象a后的值：
<?php
// 定义一个类
class A{
var $test = "Hello";
function __construct(){
print "<h1>ABCD</h1>";
}
}
// 实例化一个对象a
$a=new A();
// 序列化对象a
print "Serialize Object A: ".serialize($a)."<br/>";
?>PHP中序列化后的数据中并没有像Python一样包含函数__construct和print的信息，而仅仅是类名和成员变量的信息。因此，在unserialize函数的参数可控的情况下，还需要代码中包含魔术方法才能利用反序列化漏洞。
使用下面代码定义一个包含魔术方法__destruct的类A，然后实例化一个对象a并输出序列化后的数据，在对象销毁的时候程序会调用system函数执行df命令，然后通过GET方法传递参数arg的值给服务器进行反序列化.
