java反序列化的攻击场景：
1.远程服务接收了不被信任的反序列化数据
2.classpath中存在序列化所需要的类
3.序列化的类中存在危险函数
从上面3点看出和以前看php的反序列化攻击场景从宏观上看差不多，首先是接收数据时反序列化了不被信任的序列化数据，php的当然是固定的unserialize函数，而java中通过调用对象输入流的readObject函数来进行反序列化，unserialize只需要从该入口向下找，而java则通常是先找到readObject函数再向上找对象是否可控
magic callback：
相对于php反序列化要执行的__destruct、__wakeup，java主要包括：
比如这里就以反序列化导致文件删除为例子进行了一个说明，这个也是个cve，ysoserialize中也有该攻击链
1.在反序列化的过程中验证输入流，如果反序列化所需要的类在黑名单中，则停止序列化的过程，weblogic就用的是加黑名单的方式保护应用
2.jep290机制
即输入的反序列化数据进行过滤，官方从8u121，7u13，6u141分别支持了这个JEP，http://openjdk.java.net/jeps/290官方说明文档
3.rasp技术
4.java agent
上面讲了一些防御方法，然后就提出要找更基础的攻击向量
JDBC connection
这里要利用的主要有两点：
JDBC连接数据库的URL可控，在其中要添加连接数据库时的配置(自动反序列化)autoDeserialize和queryInterceptors
第二个参数是用于触发漏洞
https://paper.seebug.org/454/ jep
https://xz.aliyun.com/t/1631 jep
blackhat-New-Exploit-Technique-In-Java-Deserialization-Attack-笔记
原文：https://www.cnblogs.com/tr1ple/p/12258047.html