dependency - 第 3 | CN-SEC 中文网

安全文章

利用Sonatype API实现依赖检测工具

背景由于毕设答辩时间提前，导致迫不得已砍掉部分功能，而个人感觉功能有点少故添加了个依赖检测功能，大体原理利用Maven API解析提取上传的Pom文件中的依赖项，然后借助Sonatype进行安全检测。...

11月12日8 views评论

阅读全文

安全文章

Thymeleaf模板注入详细分析

Thymeleaf的SSTI介绍Thymeleaf 是一个流行的 Java Web 视图模板引擎，可以方便地将数据和 HTML 模板结合起来生成网页。但是在使用 Thymeleaf 的过程中，如果没有...

11月11日6 views评论

阅读全文

ZIP Slip

有研发的同学询问zip slip漏洞的修复，碰巧最近在批量找一些cms的zip slip漏洞，提供以下两种修复方式，仅供参考：修复方式1private static final int DEFAULT...

11月04日代码审计9 views评论

阅读全文

安全漏洞

Apache Struts2 路径穿越文件上传漏洞分析(cve-2023-50164)

一、漏洞描述1、概述Apache Struts 是一个开源用于构建企业级Java Web应用的MVC框架。2023年12月，官方披露 CVE-2023-50164 Apache Struts 文件上传...

10月29日64 views评论

阅读全文

代码审计

jackson 反序列化全文解析

pom.xml： <dependency> <groupId>com.fasterxml.jackson.core</groupId&...

10月16日36 views评论

阅读全文

安全文章

Mysql jdbc反序列化分析

漏洞简介MYSQL JDBC的反序列化利用链，原理是在使用MYSQL JDBC连接数据库的时候，会执行几个内置的sql查询语句，其中SHOW SESSION STATUS和SHOW COLLATION...

10月15日20 views评论

阅读全文

代码审计

皮蛋厂的学习日记 2023.7.20 | Ic4_F1ame Java 反序列化之 Shiro 反序列化

文章首发于先知社区皮蛋厂的学习日记系列为山东警察学院网安社成员日常学习分享，希望能与大家共同学习、共同进步~Java 反序列化之 Shiro 反序列化：环境搭建：https://github.com/...

10月13日19 views评论

阅读全文

安全漏洞

Apache RocketMQ 命令注入

漏洞简介RocketMQ 5.1.0及以下版本，在一定条件下，存在远程命令执行风险。RocketMQ的NameServer、Broker、Controller等多个组件外网泄露，缺乏权限验证，攻击者可...

10月09日30 views评论

阅读全文

安全文章

我如何通过依赖混淆(Dependency Confusion)入侵了苹果、微软和其他几十家公司

前情提要：作者提出了一种称为依赖混淆(Dependency Confusion)的漏洞，通过搜集内部库名称，并在pip、npm等平台上传恶意库文件，成功在Apple、Paypal等内部执行命令，获得1...

10月07日9 views评论

阅读全文

安全开发

如何为复杂的 Java 应用编写集成测试

本文来自星球的文章，感兴趣的可以扫码加入。最近有时间又把以前开源的 IM 消息系统捡起来继续开发了（确实这些年经常有朋友催更）。没错，确实是这些年，因为上次发版还是再 2019 年的八月份。这段时间比...

09月29日15 views评论

阅读全文

安全闲碎

本地构建Tomcat9.x源码环境

声明：文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途给予盈利等目的，否则后果自行承担！tomcat9.0.x的布置有视频，一步一步调试的，比较详细。如果看下面步...

09月22日23 views评论

阅读全文

安全文章

供应链攻击，通过依赖投毒实现RCE（Dependency Confusion 漏洞）

声明本教程只用于学习和研究Dependency Confusion 漏洞，请不要在没有授权的情况下对网站进行非法测试，请不要进行非法投毒！！！什么是依赖混淆漏洞？依赖项混淆（Dependency...

09月21日65 views评论

阅读全文