0x01 背景当下WAF对shiro的防护，确实比较严格。对rememberMe的长度进行限制，甚至解密payload检查反序列化class。本周我遇到一个场景，就是这种情况。使...
09月04日574 views评论http
序列化
shiro反序列化绕WAF之未知HTTP请求方法
09月04日574 views评论http
序列化
09月04日574 views评论http
序列化
【技术分享】二进制角度构造Java反序列化Payload
介绍最近用Go编写Java反序列化相关的扫描器，遇到一个难点：如何拿到根据命令生成的payload通过阅读已有开源工具的源码，发现大致有以下两种解决方案执行命令法使用命令执行ysoseri...
09月02日121 views评论java
payload
Web漏洞 | JAVA反序列化漏洞
V2Ray手机及PC端的使用方法
这是一篇受保护的文章，请输入阅读密码！ 确认 FROM :rickyhao.com | rickyhao.com相关推荐: Shiro-550反序列化漏洞分析概述 Shiro反序列化漏洞目前为止有两个...
09月01日171 views评论序列化
漏洞
Java代码审计系列(六) 反序列化
01 概述首先我们介绍下序列化和反序列化的概念：序列化：把Java对象转换为字节序列的过程。反序列化：把字节序列恢复为Java对象的过程。对象的序列化主要有两种用途：把对象的字节序列永久地保存到硬盘上...
08月28日61 views评论java
代码
PHP序列化
PHP序列化常见的一些魔法函数__costruct()当一个对象创建时被调用 __destruct()当一个对象销毁时被调用 __toString()当一个对象被当作字符串使用 __waeup()将在...
08月27日安全博客33 views评论wakeup
序列化
Fastjson反序列化
概述：Fastjson是阿里巴巴公司开源的一款json解析器，它可以解析 JSON 格式的字符串， 支持将 Java Bean 序列化为 JSON 字符串，也可以从 JSON 字符串反序列化到 Jav...
08月27日安全博客82 views评论json
序列化
Pre-auth RCE in ForgeRock OpenAM (CVE-2021-35464) 分析
在portswigger老外发了一篇文章是关于OpenAm应用的RCE漏洞，这个漏洞是一个反序列化漏洞，这个漏洞是由于攻击者可以通过Version这个控制器传递jato.session数据，jato的...
08月26日149 views评论序列化
漏洞
Xstream 漏洞复现
Xstream 漏洞复现一、Xstream 简介XStream是一个轻量级、简单易用的开源Java类库，用来将对象序列化成XML （JSON）或反序列化为对象;反之亦然(即：可以轻易的将Java对象和...
08月26日372 views评论xml
序列化
【安全公告】XStream多个安全漏洞通告
漏洞名称 : XStream多个安全漏洞通告组件名称 : XStream安全公告链接 : https://x-stream.github.io/changes.html ...
08月24日58 views评论xml
序列化
初探Java反序列化漏洞(二)
不能食言，再晚也要写✔ 0x01 Java反射反射之中包含了一个「反」字，有「反」就会有「正」，那么解释反射就必须先从「正」开始解释。一般情况下，当使用某个类时必定知道它是什么类（类名），是用来做什么...
08月16日87 views评论java
漏洞
痛心的CodeIgniter4.x反序列化POP链挖掘报告
0x00 前言CI框架作为PHP国外流行的框架，笔者有幸的挖掘到了它的反序列化POP链，其漏洞影响版本为4.*版本。文末有笔者与该厂商的一些“小故事”。0x01 POP链分析当然，反序列化漏洞需要反序...
08月14日76 views评论序列化
报告
52