此文章由SpringKiller安全研究师傅产出，这位佬是一个能独立开发一款企业级IAST，伸手0day伸脚1day，能手搓操作系统用脚逆向的师傅，还是OWASP的代码贡献者之一。哦，差点忘了，这个师...
03月23日12 views评论0day
rce
SpringKill的0day|在Mybatis环境下绕过Ognl防护RCE
03月23日12 views评论0day
rce
03月23日12 views评论0day
rce
Java代码审计：SQL注入中的Update、In注入（若依CMS|Mybatis|Spring|新手向）
前言 若依系统版本小于等于4.6.1的时候存在SQL注入漏洞，这个SQL注入漏洞挺有意思的。 初学者在学习SQL注入的时候往往加个单引号闭合一下，如果没有报错就测试下一个点了。然而这种方式最终将会错过...
02月18日23 views评论sql注入
sql注入漏洞
Java代码审计初试
免杀是同所有的检测手段的对抗，目前免杀的思路比较多。本篇介绍了一个独特的思路，通过内存解密恶意代码执行，解决了内存中恶意代码特征的检测。同时提出了one click来反沙箱的思路，阐述了一些混淆反编译...
01月16日27 views评论xss
代码审计
关于Mybatis的一个小问题。
之前在挖一些项目的时候，老是遇到参数置空导致信息泄露的问题。为了一探究竟，我又去重新补了一下Mybatis 也算是水一篇文章了。Mybatis中XML中的SQL规范可能产生的信息泄露如果在Mybati...
12月30日安全开发24 views评论author
mybatis
MySQL调优之大表处理探索那些事
当MySQL单表记录数过大时，数据库的CRUD性能会明显下降，一些常见的优化措施如下： 限定数据的范围：务必禁止不带任何限制数据范围条件的查询语句。比如：我们当用户在查询订单历史的时候，我们可以控制在...
12月21日32 views评论mybatis
分区
Mybatis 从SQL注入到OGNL注入
扫码领资料获网安教程免费&进群动态SQL动态 SQL 是 MyBatis 的强大特性之一，一般而言，如果不使用动态SQL来拼接SQL语句，是比较痛苦的，比如拼接时要确保不能漏空格，还要注意去掉...
05月20日95 views评论author
mybatis
迷你天猫商城漏洞审计
一、项目简介迷你天猫商城是一个基于Spring Boot的综合性B2C电商平台，需求设计主要参考天猫商城的购物流程：用户从注册开始，到完成登录，浏览商品，加入购物车，进行下单，确认收货，评价等一系列操...
05月04日30 views评论反序列化
漏洞复现
从jshERP来看Mybatis下可能的SQL注入
前言这里选择使用jshERP这个CMS来进行Mybatis下可能存在的SQL注入点进行学习jshERP：框架为：springboot持久化框架：Mybatis-plus项目管理框架：Maven前置My...
04月16日29 views评论sql语句
持久化
JAVA-RASP高效检测SQL注入
扫码领资料获网安教程免费&进群JAVA-RASP高效检测SQL注入1. 前言笔者在八月份时编写了一系列RASP Hook点及处理方式，这个过程中需要笔者去debug各lib库的代码流程，也协助...
03月14日10 views评论mybatis
sql语句
淘汰的JAVA框架
正文原文:zhihu.com/question/305924723/answer/557800752我接触 Java已近20年了，见证了许多Java技术变迁，包括：JavaEE框架，从百家混战到现在S...
11月29日47 views评论servlet
spring
21 款 yyds 的 IDEA插件
最近，闲来无事，为了改变一下枯燥的编程环境，特地搜寻了下有助提升代码功力的插件.1、Stackoverflow 这个插件其实是最实用的插件，程序猿遇到的问题，基本都能找到回答，但是它使用的是...
10月30日47 views评论idea
快捷键
Mybatis中SQL注入攻击的3种方式，真是防不胜防！
来自：FreeBuf.COM，作者：sunnyf链接：https://www.freebuf.com/vuls/240578.html前言SQL注入漏洞作为WEB安全的最常见的漏洞之一，在java中随...
10月13日41 views评论id
sql注入漏洞