Aller au contenu
uencoder

Insecure Deserialization

La désérialisation non sécurisée exécute du code arbitraire ou injecte des objets lors de la désérialisation de données non fiables ; une vulnérabilité du Top 10 OWASP.

Objectif

Comprendre le risque d'exécution de code de la désérialisation native du langage et ses défenses ; une vulnérabilité RCE courante en Java/Python/C#.

Mécanisme

Java ObjectInputStream.readObject, Python pickle.loads et similaires invoquent des méthodes définies par les objets pendant la désérialisation ; les attaquants forgent des données sérialisées malveillantes pour déclencher du code arbitraire. Défenses : listes blanches de types, JSON, vérification de signature.

Cas d’usage

  • Vulnérabilités RCE en Java
  • Sécurité de pickle en Python
  • Défense de la désérialisation

Outils associés

Calculatrice de hash
Compute MD5, SHA-1, SHA-256, or SHA-512 hashes with hex or Base64 output. Gratuit, privé et 100% côté client.
OUTIL
Testeur de regex
Test regular expressions with match highlighting, capture groups, and replace preview. Gratuit, privé et 100% côté client.
OUTIL

References