怎么找反序列化漏洞挖掘点

首先应找出readObject方法调用,在找到之后进行下一步的注入操作。- 般可以通过以下方法进行查找:

1. 源码审计:寻找可以利用的入口,即确定调用反序列化函数readObject的调用地点。
2. 对该应用进行网络行为抓包,寻找序列化数据,如wireshark,tcpdump等
3. 进阶审计
4. 白盒检测
5. 黑盒检测
6. RASP检测
7. 攻击检测