本文提出了一种名为 ODDFuzz 的新型混合解决方案，用于高效发现 Java 反序列化漏洞。Java 反序列化漏洞是实际中严重的威胁，现有静态分析和模糊测试方法在有效性和效率上存在局限。ODDFuzz 首先执行轻量级静态污点分析，识别可能引发反序列化漏洞的候选 gadget 链，此步骤旨在定位所有候选者并避免漏报。随后，ODDFuzz 采用定向灰盒模糊测试（DGF）探索这些候选链，生成概念验证（PoC）测试用例以消除误报。具体而言，ODDFuzz 应用了结构感知的种子生成方法保证测试用例的有效性，并采用新颖的混合反馈和逐步向前策略指导定向模糊测试。在流行 Java 反序列化仓库 ysoserial 上的评估表明，ODDFuzz 发现了 34 条已知 gadget 链中的 16 条，而两个最先进的基线仅识别出 3 条。此外，在真实应用如 Oracle WebLogic Server、Apache Dubbo、Sonatype Nexus 和 protostuff 上，ODDFuzz 发现了 6 条先前未报告的可利用 gadget 链，并获得了 5 个 CVE 编号。