据我所知，Java序列化漏洞一年多前已被披露，它由一位安全研究人员在PayPal的服务器中发现。那么，这是个什么样的漏洞，为什么它还未被修复？攻击者是如何利用它的？
Nick Lewis：Java序列化漏洞发生在：当输入内容从已经通过互联网提交的格式转换成另一种格式时，随后这种格式会保存在数据库中。当该漏洞存在时，在这个转换过程中处理的数据可被用于在某些易受攻击软件中进行远程代码执行。该漏洞曾被认为只是理论上的，因为其非常难以被利用，但后来FoxGlove Security在博客文章中发布了针对其可广泛使用的软件漏洞利用代码。通过这个漏洞利用代码，Java序列化漏洞成了企业需要应对的问题。
在安全研究人员Mark Litchfield发现这个漏洞后，PayPal工程人员检查了这个特定的Java序列化漏洞，并介绍了他们如何在其系统中修复了这个漏洞。安全研究人员Michael Stepankin也详细探讨了他如何通过这个漏洞在PayPal服务器远程执行代码。
在PayPal工程人员寻找其产品中漏洞代码的过程中我们可了解到，为什么企业（包括PayPal）没有在漏洞利用代码发布前修复这个漏洞：因为如果企业没有中央软件开发资源库，他们非常难以发现这个漏洞代码，他们将需要扫描所有网络应用来寻找易受攻击的系统。
为了抵御这种类型的Java序列化攻击，企业应该将安全整合到其软件开发生命周期中。作为非特权用户运行web服务器而没有在系统执行代码的权限，可减少该漏洞被用于远程代码执行的风险。
我们一直都在努力坚持原创.......请不要一声不吭，就悄悄拿走。
我原创，你原创，我们的内容世界才会更加精彩！
【所有原创内容版权均属TechTarget，欢迎大家转发分享。但未经授权，严禁任何媒体（平面媒体、网络媒体、自媒体等）以及微信公众号复制、转载、摘编或以其他方式进行使用。】
微信公众号
TechTarget
官方微博
TechTarget中国
翻译
相关推荐
-
敏捷开发时代：软件安全测试需更灵活
持续的测试方法已经日益重要，其动态性就像新的开发过程一样。幸运的是，企业越来越明白这种不断增长的需要，并且重新思考整个过程……
-
关于软件开发安全的CISSP秘籍（二）
对于软件问题，最好的办法是在一开始构建软件开发安全流程。然而，软件程序通常将功能摆在首位，而不是安全性。事实上，从一开始将安全构建到每个软件中要比随后增加安全性更为有效。
-
关于软件开发安全的CISSP秘籍（一）
对于软件问题，最好的办法是在一开始构建软件开发安全流程。然而，软件程序通常将功能摆在首位，而不是安全性。而其实，从一开始将安全构建到每个软件中要比随后增加安全性更为有效。
-
构建安全应用程序架构必须考虑的十二问
应用程序的架构检查是指检查应用程序架构中当前的安全控制。这种检查有助于用户在早期确认潜在的安全漏洞，并在开始开发之前就极大地减少漏洞。