Простой и хорошо составленный материал об атаках десериализации от Bi.Zone.