java反序列化 CC1 入口是Transformer接口的transform方法 transform方法被21个类实现了，入口类是InvokerTransformer InvokerTransfor...
02月17日13 views评论invokertransformer
构造方法
java反序列化
02月17日13 views评论invokertransformer
构造方法
02月17日13 views评论invokertransformer
构造方法
Fastjson 68 commons-io AutoCloseable
前言 今天长亭公众号发了一个 fastjson commons-io AutoCloseable 的利用，正好我最近也在分析这个，看了一下，有相同的地方也有不同地方，那我也发出来一起学习交流吧。 我这...
05月25日24 views评论fastjson
puts
【java安全】从0到1--第3章
点击蓝字关注我们微信搜一搜暗魂攻防实验室知识点1、JavaEE-反射机制-开发和安全应用场景2、JavaEE-反射机制-类&成员变量&方法&构造方法操作3、JavaEE-反射机...
05月23日23 views评论ee
属性
从Java源码来看Native命令执行方法
概述在RASP等安全产品防护严密的现在，普通的寻找Runtime.getRuntime().exec(cmds)的调用已经成为了一件不现实的事情。同样的，在Java中盛行的反序列化漏洞中，如果将RCE...
04月23日27 views评论native
命令执行
原创 | 从KCON2022议题来看fastjson新版本RCE
点击蓝字关注我们fastjson <= 1.2.80首先还是贴一点前面几篇文章已经提到的分析，作为一点对fastsjon 1.2.80的基础知识，当然，还是不懂得，可以看我有一篇fastjson...
03月24日78 views评论fastjson
rce
从KCON2022议题来看fastjson新版本RCE
fastjson \<= 1.2.80 首先还是贴一点前面几篇文章已经提到的分析，作为一点对fastsjon 1.2.80的基础知识，当然，还是不懂得，可以看我有一篇fastjson的分析合集，...
03月12日60 views从KCON2022议题来看fastjson新版本RCE已关闭评论rce
SecIN安全技术社区
Fastjson 68 commons-io AutoCloseable
前言 今天长亭公众号发了一个 fastjson commons-io AutoCloseable 的利用，正好我最近也在分析这个，看了一下，有相同的地方也有不同地方，那我也发出来一起学习交流吧。 我这...
01月01日9 views评论fastjson
set
一次实战fastjson1.2.49
某次项目中看到这么一个报错fastjson1.2.49，非常的微妙。刚好逃脱1.2.47的java.lang.Class绕过，但落入了1.2.68的java.lang.AutoCloseable绕过。...
08月28日198 views评论fastjson
mysql
codeql with JNDI injection
点击蓝字 / 关注我们0x00 前言今年年初浅蓝师傅发了两篇探索高版本 JDK 下 JNDI 漏洞利用方法的文章，拜读之后一直没时间自己进行探索，正巧最近在工作期间学习codeql...
07月13日9 views评论class
方法
codeql with JNDI injection
0x00 前言 今年年初浅蓝师傅发了两篇探索高版本 JDK 下 JNDI 漏洞利用方法的文章，拜读之后一直没时间自己进行探索，正巧最近在工作期间学习codeql相关姿势，看了一下关于寻找高版本JDK下...
07月13日53 views评论class
code
java安全（五）java反序列化
目录：1. 序列化2.反序列化3.反序列化方法的对比4.php反序列化5.java反序列化6.objectinputstream、objectoutputstream7.java.io.seriali...
04月23日37 views评论java
反序列化
Java反射机制
和都可以获取到类构造方法，区别在于后者无法获取到私有方法，所以一般在获取某个类的构造方法时候我们会使用前者去获取构造方法。如果构造方法有一个或多个参数的情况下我们应该在获取构造方法时候传入对应的参数类...
03月17日安全文章62 viewsJava反射机制已关闭评论class
参数