bean - 第 2 | CN-SEC 中文网

安全文章

【漏洞挖掘】Druid未授权漏洞

点击关注公众号，知识干货及时送达👇Part.1 前言很多朋友在渗透测试的时候，会经常碰到Druid监控页面，如果开发者配置不当，可直接进行未授权访问。Part.2 Druid简介Druid是阿里巴巴数...

02月13日123 views评论

阅读全文

安全文章

Spring内存马——Controller/Interceptor构造

出品|先知社区(ID:godown）声明以下内容，来自先知社区的godown作者原创，由于传播，利用此文所提供的信息而造成的任何直接或间接的后果和损失，均由使用者本人负责，长白山攻防实验室以及文章作者...

02月02日59 views评论

阅读全文

安全文章

原创 | AspectJWeaver利用链绕过serialKiller

点击蓝字关注我们serialKiller原理通过重写ObjectInputStream 类中的resolveClass方法加入黑名单来限制反序列化的类，黑名单配置为serialkiller.confs...

12月21日43 views评论

阅读全文

安全文章

从Tomcat源码中寻找request路径进行注入

前言前面主要是通过寻找一个全局存储的request / response来进行Tomcat中间下的回显，但是在tomcat 7环境下并不能够获取到StandardContext...

12月21日12 views评论

阅读全文

应急响应

冰蝎、哥斯拉内存马应急排查

免责声明本公众号所发布的文章及工具只限交流学习，本公众号不承担任何责任！如有侵权，请告知我们立即删除。实验环境Centos / tomcat 7.0.76冰蝎v4.0.5哥斯拉v4.0.1Arthas...

12月17日189 views评论

阅读全文

安全文章

【漏洞复现】CVE-2021-31805_Struts2-062远程代码执行

1 漏洞信息漏洞名称远程代码执行漏洞漏洞编号CVE-2021-31805危害等级高危CVSS评分8.5漏洞类型中间件漏洞漏洞厂商Apache漏洞组件Struts2受影响版本2.0.0 <= St...

11月30日289 views评论

阅读全文

代码审计

【JMX】- 介绍及攻击Java JMX

前言JMX介绍 1. JMX代码演示及架构 2. 使用jconsole图形工具监视、管理JMX使用MLet攻击JMX ...

10月29日245 views评论

阅读全文

CTF专场

Java代码分析工具Tabby在CTF中的运用

前言随着静态分析技术的不断发展，越来越多安全研究人员开始利用静态分析技术来解决问题，相比于传统手段，利用静态分析技术可以大大减少漏洞挖掘成本和时间，本文将尝试利用一款Java静态代码分析工具tabby...

10月20日454 views评论

阅读全文

代码审计

commons-beanutils 的三种利用原理构造与POC

写在前面 commons-beanutils 是 Apache 提供的一个用于操作 JAVA bean 的工具包。里面提供了各种各样的工具类，让我们可以很方便的对bean对象的属...

10月09日66 views评论

阅读全文

Java 内省机制

文章多参考，搬运工上线https://www.cnblogs.com/jiading/articles/12486921.html一、内省机制概述Java语言对Bean类属性、事件的一种缺省处理方法...

09月17日安全开发28 views评论

阅读全文

安全文章

漏洞复现 CNVD-2021-30167 用友NC BeanShell接口RCE

0x01 漏洞描述该漏洞为远程命令执行漏洞，由于用友NC对外开放了BeanShell接口，攻击者可以在无需经过身份验证的情况下直接访问该接口，并构造恶意数...

07月27日689 views评论

阅读全文

安全漏洞

OpenNMS 远程命令执行

OpenNMS是一款企业级基于Java开发的分布式监控系统，当安装OpenNMS客户Minion作为agent时，默认监听在TCP的61616端口Minion默认使用了安全角色管理，同时需要用户名和密...

07月18日108 views评论

阅读全文