java反序列化漏洞是java中比较常见的漏洞。 基础概念定义 序列化就是把对象的状态信息转换为字节序列(即可以存储或传输的形式)过程。反序列化即逆过程，由字节流还原成对象。注： 字节序是指多字节数据...
01月06日50 views评论java
序列化
java安全基础
01月06日50 views评论java
序列化
01月06日50 views评论java
序列化
php反序列化整理
反序列化漏洞主要是反序列化的过程中某些参数可控，传入一些精心构造的字符串，从而控制内部的变量设置函数，执行想要的操作。 序列化反序列化常见方法1234567891011__wakeup() //使用u...
01月06日56 views评论序列化
触发
Java反序列化漏洞学习实践一-从Serializbale接口开始先弹一个计算器
0x0、基本概念1、什么是序列化和反序列化 Serialization（序列化）是指把Java对象保存为二进制字节码的过程；反序列化deserialization是把二进制码重新转换成Java对象的过...
01月06日53 views评论java
序列化
Java反序列化漏洞学习实践三-理解java的动态代理机制
0x0、基础代理的使用场景：某程序员入职公司接手了一个项目，他读源码发现某些地方可以增强，比如在某些函数执行前应该打印日志。如果他直接在原始代码的基础上直接修改容易出错，他的做法是：自己实现一个类，和...
01月06日78 views评论代理
序列化
Java反序列化
Java反序列化背景Java反序列化漏洞最早是2015年年初AppSecCali会议上提出了漏洞利用思路，在2015年11月FoxGlove Security 安全团队才真实利用Java反序列化和A...
01月06日安全博客62 views评论java
序列化
PHP反序列化学习与实践
概念 反序列化：PHP程序为了保存和转储对象，提供了序列化的方法，PHP序列化是为了在程序运行的过程中对对象进行转储而产生的。序列化可以将对象转换成字符串，但仅保留对象里的成员变量，不保留函数方法。 ...
01月06日99 views评论php
序列化
Apereo Cas 4.1.x 反序列化命令执行漏洞
概要 Apereo CAS 是一款 Apereo 发布的集中认证服务平台，常被用于企业内部单点登录系统。其 4.1.7 版本之前存在一处默认密钥的问题，利用这个默认密钥我们可以构造恶意信息触发目标反序...
01月06日116 views评论序列化
漏洞
dotNet 反序列化ISerializable系列链分析
ISerializable有哪些链：System.Web.Security.RolePrincipalSystem.Security.Principal.WindowsIdentitySystem.S...
01月04日66 views评论security
序列化
说说JAVA反序列化
JAVA 是我国开发者广泛使用的开发语言，在金融行业使用尤为突出。实战中，利用 Java 反序列化实现远程命令执行的案例增长趋势明显，同时，WebLogic、 WebSph...
01月02日167 views评论java
反序列化
.net反序列化之Fastjson - Y4er
Fastjson fastjson是之前比较流行的第三方json库。官方文档宣称其性能测试第一，并且给了图 本文讲解fastjson.net的反序列化漏洞 demo 一个最小的序列化demo usin...
12月31日160 views评论fastjson
序列化
用一个 case 去理解 jdk8u20 原生反序列化漏洞 - panda
0x01 写在前面 jdk8u20原生反序列化漏洞是一个非常经典的漏洞，也是我分析过最复杂的漏洞之一。 在这个漏洞里利用了大量的底层的基础知识，同时也要求读者对反序列化的流程、序列化的数据结构有一定的...
12月31日77 views评论序列化
漏洞
Shiro反序列化与Tomcat内存马注入学习 - ccdr4gon
最近在入门JAVA安全,看的第一个洞是Shiro反序列化,已经是个2016年的老洞了 这个漏洞第一似乎比较适合入门,而且实战确实还能遇到几个(犄角旮旯里的系统),另外现有的注入工具注入内存马的时候可能...
12月31日296 views评论序列化
漏洞
52