class Person:
    def __init__(self, name, age):
        self.name = name
        self.age = age

{"name": "John", "age": 25}

{"name": "John", "age": 25}

json_veri = '{"name": "John", "age": 25}'
person_nesne = json.loads(json_data)           # Python nesnesi ile sonuçlanır 
                                               # {'name': 'John', 'age': 25}

// TR: Kullanıcı Girdisinden Zafiyetl Json.NET Nesne Deserileştirme 
// EN: Vulnerable Json.NET Deserialization of Object from User Input

string objString = Request.Form["object"];

Newtonsoft.Json.JsonSerializerSettings settings = new Newtonsoft.Json.JsonSerializerSettings {
        TypeNameHandling = TypeNameHandling.All //Any value except TypeNameHandling.None is vulnerable
};

object o = Newtonsoft.Json.JsonConvert.DeserializeObject(objString, settings);

// TR: Tür Zorlaması Uygulayan Kullanıcı Girdisinden 
//     Json.NET Nesne Deserileştirmesi
// EN: Json.NET Deserialization of Object from User Input That Enforces Type

string objString = Request.Form["object"];

TrustedObject oo = Newtonsoft.Json.JsonConvert.DeserializeObject<TrustedObject>(objString);

// TR: Tür Zorlaması Uygulayan Kullanıcı Girdisinden 
//     Json.NET Nesne Deserileştirmesi
// EN: Json.NET Deserialization of Object from User Input That Enforces Type

using Newtonsoft.Json;
using Newtonsoft.Json.Converters;

...

string objString = Request.Form["object"];

TrustedObject oo = JsonConvert.DeserializeObject<TrustedObject>(objString);

<?php

// TR: Güvensiz bir şekilde Unserialize() Fonksiyonu 
//     ile Yeni $user Nesnesi oluşturma 
// EN: Create New User with unserialize() insecurely

$attributes = $_GET['user_attributes'];	// Gelen Input JSON Verisi.
$user = unserialize($attributes);		// Deserileştirme ile Nesne Oluşur. 

?>

<?php

    // TR: Parametreleri Kullanarak JSON'dan Yeni Bir $user Nesnesi
    // EN: Create New User from JSON using Parameters

    // .. JSON Validity Kontrolü - JSON Çıktı Döner .. //
    $user_params = json_decode($_GET['user_attributes']);

    // .. Parametre Kontrolü – JSON Çıktı Parçaları String’leşir .. //
    $name = $user_params['Name'];
    $email = $user_params['Email'];
    $phone = $user_params['Phone'];
    
    // .. String’lerle Yeni Bir $user Nesnesi Oluşur .. //
    $user = new User($name, $email, $phone);

?>

// TR: ServletRequest Input Stream’den Bir Nesne Okuma
// EN: Reading an Object from ServletRequest Input Stream

ServletInputStream sis = request.getInputStream();
ObjectInputStream ois = new ObjectInputStream(sis);
Object obj = ois.readObject();

// TR: Güvenli Object Input Stream Kullanarak ServletRequest 
//     Input Stream’den bir Nesne Okuma
// EN: Reading an Object from ServletRequest Input Stream 
// 	 Using a Secure Object Input Stream

// TrustedObject’nin güvenilir bir nesne sınıfı olduğunu varsayalım

// ObjectInputStream’den Güvenli Kalıtım
public class SafeObjectInputStream extends ObjectInputStream {
    @Override
    protected Class<?> resolveClass(ObjectStreamClass desc) throws IOException, ClassNotFoundException {

        if (!desc.getName().equals(TrustedObject.class.getName()))
        {
            throw new ClassNotFoundException("Unsupported Class: ", desc.getName());
        }

        return super.resolveClass(desc);

    }
    /* Constructors */
}

// SafeObjectInputStream ile güvenli stream okuma kodu
ServletInputStream sis = request.getInputStream();
ObjectInputStream ois = new SafeObjectInputStream(sis);
TrustedObject obj = (TrustedObject)ois.readObject();

• Mümkün olduğunca serileştirilmiş nesneyi uzak platformlar arasında iletmeyin. Bunun yerine platformlar arasında primitive (temel) değerleri iletmeyi ve bu değerleri yeni platformda oluşturulmuş nesnenin özelliklerine (instance variable’larına / field’larına) atamayı (set etmeyi) değerlendirin.
  
  
• Eğer gerekiyorsa iletilen nesneler için whitelist önlemi kullanın. Daima iletilen nesnenin bilinen, güvenilen ve beklenilen nesne olduğundan emin olun. Herhangi bir kaynaktan dinamik olarak bir nesne oluşturmayın. Yalnızca nesne onaylanmışsa, güvenilen ve bilinen bir türdeyse ve içerisinde güvensiz nesneler içermediği düşünülüyorsa herhangi bir kaynaktan dinamik olarak nesne oluşturulabilir.
  
  
• Bir serileştirme yöntemi seçerken serileştirme yönteminin defans edilebilir, güvenli yapılandırılabilir olduğundan ve olası tehlikeli herhangi bir nesneye izin vermediğinden emin olmak adına daima serileştirme kütüphanesi dağıtıcısının dokümantasyonuna, best practice’lerine ve hatta bilinen sızma tekniklerine başvurulması gerekir.
  
  

• https://hazelcast.com/glossary/serialization/
• https://medium.com/@khemanta/data-serialization-and-deserialization-what-is-it-29b5ca7a756f
• https://stackoverflow.com/questions/1360632/what-are-object-serialization-and-deserialization
• https://knowledge-base.secureflag.com/vulnerabilities/unsafe_deserialization/unsafe_deserialization_php.html
• https://www.w3schools.com/php/func_var_unserialize.asp
• https://www.php.net/manual/tr/function.serialize.php
• https://cwe.mitre.org/data/definitions/502.html