Java反序列化漏洞实现（1）------------【Java基础】
好吧，这个在网上的讲解一大堆了。我之所以写这个呢，是为了加深理解序列化和反序列化，当然还有反射。
序列化，它是让Java对象脱离Java运行环境的一种手段，可以有效的实现多平台之间的通信、对象持久化存储。
序列化和反序列化的过程，
讲解下，
- Java 序列化是指把 Java 对象转换为字节序列的过程，便于保存在内存、文件、数据库中。----------ObjectOutputStream类的writeObject方法可以实现序列化。
- 反序列化是指把字节序列恢复为 Java 对象的过程。----------ObjectInputStream 类的readObject方法用于反序列化。
那么接下来，我们看下如何序列化吧，
条件：
- 类必须实现反序列化接口，同时设置serialVersionUID以便适用不同jvm环境。
- 可通过SerializationDumper这个工具来查看其存储格式,主要包括Magic头：0xaced，TC_OBJECT:0x73，TC_CLASS:0x72，serialVersionUID，newHandle
就这样将String对象obj1序列化后写入object文件，后反序列化得到对象obj2，执行后输出：Hello world。
但是如果我们打开Object文件（默认在项目的文件夹下），
当然借用别人的，而我的是，
哈哈，可能借用的那张图是用二进制打开方式打开的，而我使用的是笔记本，它的编码不符合，所以出现了乱码。不过这也证明了多出的是java序列化内容的特征。
例如：Ac ed 00 05是java序列化内容的特征，编码后是rO0ABQ==。
好了，我们了解以及实践了。那么我们一般在什么时候呢？
- http参数，cookie，sesion，存储方式可能是base64（rO0），压缩后的base64（H4sl），MII等。
- Servlets HTTP，Sockets，Session管理器包含的协议就包括JMX，RMI，JMS，JNDI等（\xac\xed）。
- xml Xstream，XMLDecoder等（HTTP Body：Content-Type:application/xml）。
- json(Jackson，fastjson) http请求中包含。
了解了这些基础，那么我们也就该了解反序列化的漏洞了。
如果你要验证上面的代码，那么你就要自己找一个应用，好比我，
Test.class中MyObject类有一个共有属性name，myObj实例化后将myObj.name赋值为了“hi”，然后序列话写入object，
漏洞发生在反序列化过程，MyObject类实现了Serializable接口，并重写了readObject()函数（从源输入流中读取字节序列，反序列化成对象），这里定制的行为是打开计算器：
通过上面，我们了解到反序列化的漏洞是多么可怕，你可以想象要是有黑客组织制作一系列的反序列化侵略命令，那么你的电脑将遭所到什么可怕的事情。
通过上面，我们了解到序列化和反序列化。对于这个功能我们绝对不可忽略，是因为它有可能被某些人用来入侵，而且后果非常可怕。
好了，我们了解了这么多。我们知道为什么要序列化吗？
你知道对象在一般情况下，会随着程序的终止而终止。但是在一些情况下，这些对象又不得不存在着。所以我们需要把这个对象的信息存储起来，在下次运行的时候该对象被重建并保存程序上次运行的信息，这就是“持久化”。
对象的存储可以是文件也可以是数据库，而且还可以通过网络来传输它。
嗯。。。
这也就意味着“持久化”可以把一个对象的生命周期不取决于程序是否运行了，而是生存于程序的调用之间。
但是上面能解决了我们的疑问了吗？
其实，
还有这一部分。
参考资料：
Java编程思想 第18章 Java I/O系统 18.12 对象序列化