PHP object injection and JAVA deserialization vulnerabilities in web applications

Abstract

Στην παρούσα εργασία γίνεται έρευνα σχετικά με τις ευπάθειες αποσειριοποίησης και τις επιπτώσεις τους σε διαδικτυακές εφαρμογές. Αυτού του είδους οι ευπάθειες υπάρχουν σε εφαρμογές ανεξαρτήτου της γλώσσας προγραμματισμού που χρησιμοποιήθηκε για την ανάπτυξή τους. Η έρευνα στρέφεται κυρίως στις εφαρμογές που αναπτύχθηκαν με την χρήση των γλωσσών PHP και JAVA. Κατά την διάρκειας της εργασίας αναπτύχθηκε ένα εργαλείο εντοπισμού ευπαθειών αποσειριοποίησης (ObjectMap) με την χρήση της γλώσσας προγραμματισμού golang, καθώς και μια πλατφόρμα δοκιμών (Object Injection Playground) η οποία αναπτύχθηκε σε PHP/slim, για ακριβέστερα αποτελέσματα η εφαρμογή εκτελείται ταυτόχρονα σε πολλαπλές εκδόσεις της PHP με την χρήση docker containers.