1. 序列化 与 反序列化定义:序列化指 将 对象/数据结构的状态信息 转换为可以存储或传输的形式的过程,其反过程称为反序列化。作用:将对象持久化到存储介质以便再次使用使对象能在网络中传输如序列化格式...
一文学会shiro反序列化
目录漏洞原理Apache shiro是一个广泛使用的Java应用程序安全框架,其中的会话管理和权限控制功能,依赖于序列化、AES加密和base64编码,shiro反序列化漏洞主要利用Java反序列化机...
CVE-2024-22399 - SwingLazyValue利用链构造分析
前言通过Apache Seata Hessian反序列化漏洞(CVE-2024-22399)来分析一下该漏洞中所用到的SwingLazyValue利用链的构造过程分析过程序列化代码,将序列化后的数据保...
一条新的glibc IO_FILE利用链:__printf_buffer_as_file_overflow利用分析
前言之前听说glibc2.37删除了_IO_obstack_jumps这个vtable。但是在源码里还看到obstack结构体存在,那么glibc2.37真的不能再调用_IO_obstack_jump...
基于ysoserial的深度利用研究(命令回显与内存马)
0x01 前言很多小伙伴做反序列化漏洞的研究都是以命令执行为目标,本地测试最喜欢的就是弹计算器,但没有对反序列化漏洞进行深入研究,例如如何回显命令执行的结果,如何加载内存马。在上一篇文章中↓↓↓记一次...
C3P0利用分析
前言 C3P0存在原生反序列化三种利用方式、拓展利用点 1.Java 原生态反序列化利用链 - 加载远程类 2.Json 反序列化利用链 - JNDI 3.Json 反序列化利用链 - HEX序列化字...
Java安全-利用链.URLDNS
URLDNSURLDNS链是用来检测目标是否存在反序列化漏洞的,他的优点就是不限java版本,因为实在HashMap中触发的很难去对他进行限制,但是仅限于使用他验证是否存在反序列化漏洞,无法进行其他操...
Java反序列化-CommonsCollections1链分析
什么是CC? CC全称Commons Collections,主要封装了Java的集合相关类对象,它是Java中的一个组件利用链是什么? 你可以把他看做反序列化漏洞的EXP ,利用链首先要满足三...
聊聊在反序列化漏洞中如何找Gadget利用链
前言最近好像做了很长很长一场梦,梦醒了~免责声明:本篇文章仅用于技术交流学习和研究的目的,严禁使用文章中的技术用于非法目的和破坏,否则造成一切后果与发表本文章的作者无关。注意:本免责声明旨在明确指出,...
【JAVA安全】URLDNS反序列化链
unsetunset前言unsetunsetURLDNS是ysoserial中的一条利用链,通常用于检测是否存在Java反序列化漏洞,该利用链具有如下特点:只能发起 DNS 请求,并不能进行其它利用不...
Hibernate反序列化利用链分析(1)
分析了ysoserial一系列利用链后发现每一链都是由一些小的点串起来才构成了有每条完整的利用链的,此次分析的hibernate反序列化利用链也不例外,所以打算以每一个小点为中心写一下hibernat...
用友反序列化漏洞黑名单绕过浅析
Ha1ey@深蓝攻防实验室 前言 相信大家实战项目中遇到过很多某友NC或者NCCloud,关于这个产品的漏洞也是层出不穷,最多的就是反序列化漏洞了。 在NC6.5这个产品版本的时候大家常用的一条利用链...
9