0x01 背景ExpandedWrapper在XmlSerializer反序列化过程发挥了至关重要的作用,完美的扩展了两个泛型类且它的公开的属性可以存储投影结果,正是由于提供了这么多强大的功能才被反序...
代码审计自动化工具【一】-RIPS
####################免责声明:工具本身并无好坏,希望大家以遵守《网络安全法》相关法律为前提来使用该工具,支持研究学习,切勿用于非法犯罪活动,对于恶意使用该工具造成的损失,和本人及开...
Shiro反序列化初探
0x1 Shiro介绍Shiro是java中执行验证、授权和会话管理的一个安全框架,广泛用于Java网站的开发中。随着Shiro反序列漏洞(CVE-2016-4437)被披露,直到现在在一些hw、渗透...
『代码审计』ysoserial URLDNS 反序列化分析(四)
点击蓝字 关注我们日期:2022-06-23作者:ICDAT介绍:这篇文章主要是对URLDNS反序列化链分析。0x00 前言我们之前分析了 ysoserial CommonsCollections 5...
Java反序列篇-浅谈Shiro利用分析
前言在前面几篇文章中从最容易入手的URLDNS链条,再到CC6,CC1,CC2基本可以说把所有CC链都学完了,其他的CC链的出现也是为了解决黑名单的问题。借用P牛的一段话,我们既然已经有C...
告别脚本小子系列丨JAVA安全(6)——反序列化利用链(上)
0x01 前言我们通常把反序列化漏洞和反序列化利用链分开来看,有反序列化漏洞不一定有反序列化利用链(经常用shiro反序列化工具的人一定遇到过一种场景就是找到了key,但是找不到gadget,这也就是...
浅析JAVA javassist技术
浅析javassist0x01 javassist是什么?网上copy~:Javassist是可以动态编辑Java字节码的类库。它可以在Java程序运行时定义一个新的类,并加载到JVM中;...
Java安全笔记-JNI 详解
JNI (Java Native Interface,JAVA 本地接口) 允许 Java 代码和其它编程语言编写的代码进行交互,主要为Java和Native层(C/C++)相互调用的接口规范,但是并...
PHP反序列化进阶学习与总结
文章来源|MS08067 Web高级攻防第3期作业本文作者:huang(Web高级攻防3期学员)基本概念序列化(串行化):将变量转换为可保存或传输的字符串的过程;反序列化(反串行化):将字符...
Java安全笔记-JNI 详解
点击蓝字 / 关注我们JNI (Java Native Interface,JAVA 本地接口) 允许 Java 代码和其它编程语言编写的代码进行交互,主要为Java和Native...
【代码审计】反序列化漏洞复现
声明:Tide安全团队原创文章,转载请声明出处!文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用,任何人不得将其用于非法用途以及盈利等目的,否则后果自行承担!一、前言 ...
从Fastjson和Log4j2学习JNDI注入
文章首发于:火线Zone社区(https://zone.huoxian.cn/)JNDI介绍Java命名和目录接口是Java编程语言中接口的名称( JNDI )。它是一个API(应用程序接口),与服务...
125