什么是反序列化序列化，是指将内存中的某个对象压缩成字节流的形式，而反序列化，则是将字节流转化成内存中的对象。Java序列化和反序列化处理是基于Java框架的Web应用中比较重要的功能。因为在网络中，无...
03月04日37 views评论java
序列化
java不安全的反序列化
03月04日37 views评论java
序列化
03月04日37 views评论java
序列化
php(phar)反序列化漏洞及各种绕过姿势
本文为看雪论坛优秀文章看雪论坛作者ID：pank1s一简介序列化其实就是将数据转化成一种可逆的数据结构，自然，逆向的过程就叫做反序列化。简单来说就是我在一个地方构造了一个类，但我要在另一个地方去使用它...
03月02日23 views评论https
php
WEB常见漏洞之反序列化（基础原理篇）
免责声明由于传播、利用本公众号狐狸说安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号狐狸说安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会...
02月14日32 views评论反序列化
序列化
Java反序列化中jndi注入的高版本jdk绕过
群里大佬们打哈哈的内容，菜鸡拿出来整理学习一下，炒点冷饭。主要包含以下三个部分：jndi注入原理jndi注入与反序列化jndi注入与jdk版本jndi注入原理：JNDI（Java Name and D...
01月30日代码审计15 views评论java
name
VM2远程代码执行漏洞曝光
VM2现10分漏洞，可在沙箱外运行代码。vm2是JS沙箱库，每个月通过npm的下载量超过1600万。Oxeye安全研究人员在vm2中发现了一个非常严重的远程代码执行漏洞，漏洞CVE编号为CVE-202...
01月30日21 views评论对象
远程代码执行漏洞
JAVA安全|基础篇：反射的应用—动态代理
XStream拒绝服务漏洞风险提示（CVE-2022-41966）
漏洞公告近日，安恒信息CERT监测到XStream官方发布了安全公告，修复了XStream拒绝服务漏洞（CVE-2022-41966），CVSS评分8.2。该漏洞是由于XStream中存在堆栈溢出漏洞...
01月01日57 views评论cert
对象
Java RMI 攻击由浅入深
零、前言 十一本来打算不卷了，好好放松放松，但是几个事情对我触动比较大，所以就又给自己设了个搞懂 RMI 反序列化相关攻击的学习目标。 再加上一是为后续深入 IIOP/T3 打下基础，二是最近一位师傅...
01月01日16 views评论java
客户端
服务器端模板注入（SSTI）-攻击示例（三）
在本节中，将更仔细地研究一些典型的服务器端模板注入漏洞，并演示如何来利用它们。通过实践，可以潜在的发现并利用各种不同的服务器端模板注入漏洞。一旦发现了服务器端模板注入漏洞，并确定了正在使用的模板引擎，...
12月31日7 views评论class
漏洞
简单操作实现冰蝎jsp webshell 阿里云免杀
前言前段时间模仿csroad师傅思路写了一个webhsell免杀生成工具但在某云 webshell检测平台败北，无意间在先知社区文章评论下发现一个哥斯拉的免杀思路，虽然当时给出的哥斯拉webshell...
12月20日65 views评论ctf
webshell
【转载】PHP面向对象编程
[huayang]转载自：大嘴蜗牛 一、PHP类和对象 类是面向对象程序设计的基本概念，通俗的理解类就是对现实中某一个种类的东西的抽象， 比如汽车可以抽象为一个类，汽车拥有名字、轮胎、速度、重量等属性...
12月03日5 views评论class
name
不安全的反序列化-攻击示例（一）
在本节中，将用PHP、Ruby和Java反序列化的例子指导如何利用一些常见的情况，从而证明利用不安全的反序列化实际上比许多人认为的要容易很多。如果能使用预先建立的小工具链，在黑盒测试中甚至可以做到这一...
11月15日40 views评论java
php
17