안전하지 않은 역직렬화 (Insecure Deserialization)

역직렬화는 저장되거나 전송된 데이터(바이트/문자열)를 다시 객체로 복원하는 과정이다. 이 과정에 신뢰할 수 없는 입력이 들어가면, 단순 데이터 복원을 넘어 객체 생성자·소멸자·매직 메서드가 공격자 의도대로 실행되면서 임의 코드 실행으로 이어질 수 있다.

언어별로 흔히 나오는 형태

• PHP: unserialize()에 사용자 입력을 직접 넣는 경우. 클래스에 __wakeup, __destruct 같은 매직 메서드가 있으면 역직렬화 시점에 자동 호출되어, 이를 체이닝해서 임의 코드 실행까지 만드는 걸 "POP 체인(Property-Oriented Programming)"이라 부른다.
• Java: ObjectInputStream.readObject()로 신뢰할 수 없는 바이트 스트림을 역직렬화. 클래스패스에 있는 가젯 체인(Apache Commons Collections 등 유명 라이브러리)을 이용한 공격이 다수 알려져 있다.
• Python: pickle.loads()는 문서에도 명시되어 있듯 신뢰할 수 없는 데이터에 쓰면 안 된다. __reduce__ 메서드를 이용해 임의 함수 호출을 실행시킬 수 있다.
• Node.js: node-serialize 같은 일부 라이브러리는 함수 자체를 문자열로 직렬화했다가 eval로 복원하는 방식이라 구조적으로 위험하다. (표준 JSON.parse는 함수를 직렬화하지 않으므로 이 클래스의 문제에서 상대적으로 안전하다.)

탐지 방법

1. 쿠키, 히든 폼 필드, 캐시된 데이터 등에서 Base64로 인코딩된 값을 찾는다 — 디코딩했을 때 Java는 aced0005로 시작하는 매직 바이트, PHP는 O:8:"ClassName" 같은 패턴이 보이면 역직렬화 대상이다.
2. 해당 값을 조작했을 때 에러 메시지에 클래스 구조/스택 트레이스가 노출되는지 확인 (가젯 체인 구성에 필요한 정보)
3. Java는 ysoserial, PHP는 대상 코드에서 직접 가젯 체인을 분석해서 페이로드 생성 도구로 자동화하는 경우가 많다.

방어

• 가장 확실한 방법은 애초에 신뢰할 수 없는 입력을 역직렬화하지 않는 것. 가능하면 JSON처럼 코드 실행 능력이 없는 데이터 포맷으로 대체한다.
• 역직렬화가 꼭 필요하다면 클래스 화이트리스트를 강제한다 (Java의 경우 ObjectInputFilter, look-ahead deserialization 등).
• 역직렬화되는 데이터에는 무결성 검증(서명, HMAC)을 걸어서 조작된 페이로드 자체를 걸러낸다.
• 관련 라이브러리는 최신 버전으로 유지한다 — 가젯 체인으로 쓰이는 라이브러리 자체의 패치가 나오는 경우가 많다.