请问一下 Python 如何反序列化 Java 序列化后的代码？

[0xvincebye]

最近在做一个东西，大概是接受其他人 Java 序列化后的数据进行一个数据处 请问一下有没有什么办法？ 这边看 python 的序列化方法都是针对的 python 对象

[yxcxx]

protobuf

[InkStone]

用一个 Java 中间层再把序列化对象转换成 json，再从 Python 读

[GM]

跨语言传数据要么 json 要么 protobuf 之类，哪有直接传原生序列化数。

[widewing]

@yxcxx 一直有个疑问借楼问下，protobuf 相对 json 有啥好处吗，还要引入学习一堆东西，性能显著提升？但是只是接口的话性能应该不是瓶颈呀

[0xvincebye]

我觉得我还是没说清楚，实际就是做一个蜜罐，在测试反序列化漏洞，因为这个项目是用 python 写的，所以需要用 python 处理，也因为是蜜罐，我这边也无法控制他发什么，主要功能就是捕获他们的序列化数据

[hitmanx]

@widewing

https://developers.google.com/protocol-buffers/docs/overview#whynotxml
```
Protocol buffers have many advantages over XML for serializing structured data. Protocol buffers:

are simpler
are 3 to 10 times smaller
are 20 to 100 times faster
are less ambiguous
generate data access classes that are easier to use programmatically
```

[virusdefender]

@0xvincebye 类似 pickle，实现下相关的协议就好吧，不知道网上有没有现成的

https://docs.oracle.com/javase/8/docs/platform/serialization/spec/protocol.html

[CoderGeek]

@widewing protobuf 虽然不是性能最高 优势在于鲁棒性好

[CoderGeek]

@CoderGeek 说错了啊 不好意思 Hessian 的鲁棒性最好 protobuf 的性能已经很高了

[RIcter]

蜜罐啊，那关键字+正则完事了。
总共就那么几个 gadgets 可用，要么就是执行命令或者 EL，那么就是 JNDI