如何修复 JMX 中的 java 序列化漏洞？

Question

https://github.com/frohoff/ysoserial

是一种概念验证工具，用于生成利用不安全 Java 对象反序列化的有效负载。它也适用于 JMX。

有什么方法可以让 JMX 安全吗？ 我还阅读了https://tersesystems.com/2015/11/08/closing-the-open-door-of-java-object-serialization/。我不明白如何在我的项目中使用 NotSoSerial。

Answer 1

您可以通过从 githhub 构建项目来运行 NotSoSerial，然后获取 jar 并在命令行上使用以下参数运行 JVM：

-javaagent:notsoserial.jar -Dnotsoserial.whitelist=empty.txt 

在https://github.com/kantega/notsoserial#whitelisting-mode中指定

如果您想使用 JMX 但不想使用 RMI（它使用 Java 序列化），请查看 jmxtrans 或 Jolokia，看看如何最好地锁定通过那里传递的 JSON 消息。