免责声明 道一安全(本公众号)的技术文章仅供参考,此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等(包括但不限于)进行检测或维护参考,未经授权请勿利用文章中的技术资料对任何计算机系统进行入...
JAVA安全-FastJson1.2.24反序列化漏洞分析
点击上方蓝字·关注我们免责声明由于传播、利用本公众号菜狗安全所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,公众号菜狗安全及作者不为此承担任何责任,一旦造成后果请自行承担!如有侵...
手把手教你搭建Weblogic调试环境
无论是漏洞挖掘还是漏洞复现,最让人痛苦的一件事莫过于搭建环境。特别是一些大型应用的调试环境搭建,可谓又复杂又难搞,而且几乎很难找到现成成体系的资料。为了避免大家在漏洞挖掘或者复现过程中浪费时间去自行搜...
FastJson1.68&1.80版本反序列化利用
前言FastJson在1.2.25版本以后默认关闭了autoTypeSupport。所有反序列化的类以下任意条件可以成功反序列化:在白名单中。关键字为:internalWhite,白名单参考0x05其...
JAVA反序列化—CC链的前世今生
更多全球网络安全资讯尽在邑安全前言JAVA安全初级入门者,学习一下CC链加强代码审计能力。开始之前,先简单引入一些概念知识。什么是CommonsCollections,这里引用一段话进行解释Commo...
log4j2远程代码执行漏洞原理
由于微信公众号推送机制改变了,快来星标不再迷路,谢谢大家!log4j2漏洞原理?CVE-2021-44228,简称:log4j2,利用漏洞可以执行任意命令。该漏洞影响所有 log4j2 受影响的版本,...
隐藏窗口监听剪贴板(代码纯享)
看到某个小软件在用这种方法监听剪贴板,不是什么新鲜玩意儿,尝试复现一下#include <Windows.h>#include <iostream>HWND clipboard...
一文教你学会java代码审计
一、前置知识本文主要讲解基础的代码审计思路与方法技巧,适合有一定java基础,无审计经验的同学学习。二、漏洞挖掘1、配置信息先看pom.xml,了解到使用了哪个依赖库以及版本,从而可以确定是否存在漏洞...
挖掘SRC时如何编写信息收集脚本
朋友们现在只对常读和星标的公众号才展示大图推送,建议大家把“亿人安全“设为星标”,否则可能就看不到了啦原文由作者授权,首发在先知社区https://xz.aliyun.com/t/144120X01前...
关于C++ 迭代器失效特性的研究
一前 言在C++中,迭代器(Iterator)是一种用于遍历容器中元素的对象(如数组、向量、列表等)。它提供了一种统一的访问容器元素的方式,无论容器的类型和实现细节如何,比如list,vector,m...
JAVA代码审计2个小tips
前言:在放1篇星球的文章,解决遇见的常见问题。1、lib文件过多时,快速定位lib代码文件如已知java-callgraph找出的类名但不知道在哪个lib文件时可利用该工具快速获取到相关lib,适用于...
某.net程序文件写入漏洞分析
扫码领资料获网安教程前段时间看到公开了一个漏洞payload很奇怪,正好有空就分析了一下,也是第一次接触了.net的代码审计,一通分析下来,发现和审计java和php的思路是一样的...文章来源: h...
426