免责声明：本公众号致力于安全研究和红队攻防技术分享等内容，本文中所有涉及的内容均不针对任何厂商或个人，同时由于传播、利用本公众号所发布的技术或工具造成的任何直接或者间接的后果及损失，均由使用者本人承担...
09月21日6 views评论collection
黑名单
某报表系统黑名单绕过分析-附POC
09月21日6 views评论collection
黑名单
09月21日6 views评论collection
黑名单
Proxynotshell 反序列化及 CVE-2023-21707 漏洞研究
漏洞原理 流程梳理 先分析一下与 powershell 接口交互的 xml 数据的处理流程。xml 信息传入后，会被 PSSerializer.Deserialize 反序列化后作为 PSObject...
07月04日21 views评论ps
反序列化
【基础漏洞】不安全的反序列化
什么是序列化和反序列化漏洞介绍复现过程pickle 模块介绍魔术方法 `__reduce__()`漏洞场景举例复现漏洞危害修复建议 什么是序列化和反序列化 序列化和反序列化是指用于将对象或数据结构转换...
05月23日24 views评论反序列化
序列化
Shiro550另类检查方式笔记
整体处理函数如下：传入错误key：通过393行传入subjectContext，调用getRememberedSerializedIdentity函数，该函数位内的org/apache/shiro/w...
05月15日49 views评论rememberme
shiro
原创 | 从KCON2022议题来看fastjson新版本RCE
点击蓝字关注我们fastjson <= 1.2.80首先还是贴一点前面几篇文章已经提到的分析，作为一点对fastsjon 1.2.80的基础知识，当然，还是不懂得，可以看我有一篇fastjson...
03月24日56 views评论fastjson
rce
从KCON2022议题来看fastjson新版本RCE
fastjson \<= 1.2.80 首先还是贴一点前面几篇文章已经提到的分析，作为一点对fastsjon 1.2.80的基础知识，当然，还是不懂得，可以看我有一篇fastjson的分析合集，...
03月12日23 views从KCON2022议题来看fastjson新版本RCE已关闭评论rce
SecIN安全技术社区
从JDBC attack到detectCustomCollations利用范围扩展
出品|先知社区(ID:RoboTerh）声明以下内容，来自先知社区的RoboTerh作者原创，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，长白山攻防实验室以及...
02月21日10 views评论attack
auto
Java反序列化技术分享（1）--基础篇
一、Java序列化和反序列化基础Java 序列化是指把 Java 对象转换为字节序列的过程便于保存在内存、文件、数据库中，ObjectOutputStream类的 writeObject() 方法可以...
02月16日25 views评论java
序列化
技术前瞻｜帆软channel接口反序列化漏洞分析
｜漏洞信息近日，监测到帆软官方网站上爆出一则channel接口反序列化漏洞https://help.fanruan.com/finereport/doc-view-4833.html该接口接受序列化数...
02月16日215 views评论ips
反序列化
Json.NET 反序列化漏洞复现问题解答
0x01 问题解答dotnet安全矩阵群里的某位师傅在复现Json.Net反序列化漏洞时抛出异常，师傅使用的是ysoserial.exe -g ObjectDataProvider -f json.n...
02月08日14 views评论data
安全
SharpViewStateShell v1.1.0
0x00 项目介绍该项目是在 获取 .NET Web 框架权限后，上传特定的 aspx 脚本获取相关数据，然后进行权限维持使用。0x01 使用说明config 中的文本框需要填入输入，红框的数据是必须...
01月01日68 views评论sharp
文件上传
redis未授权到shiro反序列化【文末抽奖】
redis未授权到shiro反序列化0x01 简介在一次渗透测试的过程中发现6379端口上开着一个未授权的redis，尝试利用redis进行rce失败。又发现redis缓存了shiro的session...
09月10日110 views评论rce
网络安全