Java 生态漏洞

网络安全 · 共 7 篇

从依赖地狱、历史组件、反序列化、表达式注入到供应链攻击，讲清 Java 生态漏洞频发的根因，并画出一张常见高危组件风险地图，帮你建立"先看组件、再追利用"的排查思路。

拆解 CVE-2021-44228 的成因——Log4j 2.x 的消息查找功能如何被 ${jndi:ldap://} 利用，从 JNDI/LDAP 原理到利用链、影响版本与升级修复，给出可落地的应急与检测方案。

讲清 Java 原生反序列化的执行时机，拆解 gadget 链的概念，用 CommonsCollections、URLDNS 两条经典链说明"多个无害类串起来如何直达命令执行"，并给出 ObjectInputFilter 等 defense 手段与 ysoserial 用法。

拆解 Fastjson autoType 与 Jackson 多态类型为何会重蹈反序列化覆辙——库按攻击者指定的类去实例化对象，结合 JNDI/TemplatesImpl 直达 RCE，并给出 safeMode、白名单等关闭方案。

拆解 Struts2 为何漏洞频发——OGNL 表达式引擎把用户输入当代码求值。从 S2-045 到 S2-061 的利用面（参数、Content-Type、namespace），讲清沙箱绕过思路与升级/WAF 防御。

拆解 Spring 两大代表漏洞——Spring4Shell（CVE-2022-22965）靠数据绑定越权改 Tomcat 写 JSP 马，以及 SpEL 表达式注入（CVE-2022-22963 等）。给出升级、disallowedFields、不拼用户输入等防御。

收尾 Java 生态漏洞系列——拆解 Shiro rememberMe 反序列化（硬编码密钥）、WebLogic T3/IIOP 与后台 RCE、Tomcat Ghostcat(AJP)，并讲清如何用 Dependency-Check/Snyk 做依赖供应链体检与常态化防御。