Insecure Deserialization
La deserialización insegura ejecuta código arbitrario o inyecta objetos al deserializar datos no confiables en objetos; una vulnerabilidad del OWASP Top 10.
Propósito
Entender el riesgo de ejecución de código de la deserialización nativa del lenguaje y sus defensas; una vulnerabilidad RCE común en Java/Python/C#.
Mecanismo
Java ObjectInputStream.readObject, Python pickle.loads y similares invocan métodos definidos por los objetos durante la deserialización; los atacantes fabrican datos serializados maliciosos para ejecutar código arbitrario. Defensas: listas blancas de tipos, JSON, verificación de firmas.
Casos de uso
- Vulnerabilidades RCE en Java
- Seguridad de pickle en Python
- Defensa de deserialización
Herramientas relacionadas
Calculadora de hash
Compute MD5, SHA-1, SHA-256, or SHA-512 hashes with hex or Base64 output. Gratis, privado y 100% del lado del cliente. HERRAMIENTA
Probador de regex
Test regular expressions with match highlighting, capture groups, and replace preview. Gratis, privado y 100% del lado del cliente. HERRAMIENTA