WJW's Blog

序列化 将复杂的数据结构转换为适合传输和保存的字节类型。(存储)
反序列化 将字节类型转换为复杂的数据结构(程序使用)

xml外部实体注入漏洞。XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意的外部文件，造成文件读取、命令执行等等。XXE漏洞触发点在可上传xml文件的位置，没有对上传的xml文件过滤，导致上传恶意的xml文件。

Redis配置不当可导致未授权访问，被恶意利用。部分服务器上的Redis绑定在0.0.0.0：6379,并且没有开启认证(这是Redis的默认配置)，以及该端口可通过公网直接访问，如果没有采取相关的策略，比如添加防火墙规则避免其他非信任来源ip访问等，将会导致Redis服务器直接暴露在公网上，可能造成其他用户直接在非授权情况下直接访问呢Redis服务并进行相关操作。