前言 通过前两章的了解,大家对Java反射机制有了一定的认知。本章作为反射篇的最终章,如果从反序列化的层面来说Java反射的具体危害,需要一些反序列化的基础知识。故笔者决定从...
Java代码审计之任意文件下载
文件下载原理 通过超链接下载文件时,如果浏览器可以识别该文件格式(txt、jpg等),浏览器就会直接打开。只有浏览器不能识别该文件格式的时候,才会实现下载。否则前端页面通过超链...
一次SQL注入导致的"越权"
相关背景 在实际的业务开发中,SQL交互往往是业务系统中不可或缺的一项。在Java中提供了类似Mybatis、Hibernate、SpringData JPA等来满足相关的数据...
JavaWeb中常见的信息泄漏—Swagger
关于Swagger Swagger 是一个规范和完整的框架,用于生成、描述、调用和可视化 RESTful 风格的 Web 服务。总体目标是使客户端和文件系统作为服务器以同样的速...
JavaWeb中的ssrf审计
JavaWeb中的SSRF审计 漏洞原理 漏洞成因 web应用提供了从其他的服务器上获取数据的功能。例如通过用户指定的URL,web应用可以获取图片,下载文件,读取文件内容等。...
记一次跨站脚本攻击审计过程
前言 前面的文章分享了一些Java中跨站脚本攻击的审计思路。结合github上某实际的代码环境进行相关的实战,以下记录相关的审计过程。 相关过程 首先拿...
JaveWeb中常见的信息泄漏——DWR类测试地址
关于DWR DWR(Direct Web Remoting)是一个用于改善web页面与Java类交互的远程服务器端Ajax开源框架,可以帮助开发人员开发包含AJAX技术的网站。...
漫谈Java反序列化
前言 Java的反序列化漏洞探索出了Java安全的新纪元。开发人员为什么要反序列化呢?众所周知,用户和服务器进行交互时,会传输一下数据,数据传输前需要格式化,将数据转化成服务...
JavaWeb中常见的信息泄漏—Hystrix面板
关于Hystrix 在微服务的应用场景中,通常会有很多层的服务调用。应用程序有数十个依赖关系,每个依赖关系在某些时候不可避免的会出现问题(例如调用响应时间过长或不可用)。如果一...
从安全角度谈Java反射机制--序章
前言 众所周知,Java目前影响最大的是反序列化漏洞,换一句话说Java安全是从反序列化漏洞开始,但反序列化漏洞又可以基于反射,这次笔者带你走进Java安全的大门。 &ems...
Oracle注入简单挖掘-绕过姿势
Oracle注入简单挖掘-绕过姿势 背景 在进行SQLi测试的时候,我们会发现我们提交的一些Payload会被WAF或者Filter过滤拦截掉。因此,通过优化的Payload在...
JavaWeb中的权限控制——Spring Security
SpringSecurity概述 Spring Security是一个灵活、强大和可定制的身份验证和访问控制框架,以确保基于Spring的Java Web应用程序的安全。 &...
6