前言 通过前两章的了解，大家对Java反射机制有了一定的认知。本章作为反射篇的最终章，如果从反序列化的层面来说Java反射的具体危害，需要一些反序列化的基础知识。故笔者决定从...
05月10日82 views评论java
模板
从安全角度谈Java反射机制--终章
05月10日82 views评论java
模板
05月10日82 views评论java
模板
Java代码审计之任意文件下载
文件下载原理 通过超链接下载文件时，如果浏览器可以识别该文件格式(txt、jpg等)，浏览器就会直接打开。只有浏览器不能识别该文件格式的时候，才会实现下载。否则前端页面通过超链...
05月10日SecIN安全技术社区96 views评论文件
浏览器
一次SQL注入导致的"越权"
相关背景 在实际的业务开发中，SQL交互往往是业务系统中不可或缺的一项。在Java中提供了类似Mybatis、Hibernate、SpringData JPA等来满足相关的数据...
05月10日138 views评论sql
注入
JavaWeb中常见的信息泄漏—Swagger
关于Swagger Swagger 是一个规范和完整的框架，用于生成、描述、调用和可视化 RESTful 风格的 Web 服务。总体目标是使客户端和文件系统作为服务器以同样的速...
05月10日907 views评论文档
框架
JavaWeb中的ssrf审计
JavaWeb中的SSRF审计 漏洞原理 漏洞成因 web应用提供了从其他的服务器上获取数据的功能。例如通过用户指定的URL，web应用可以获取图片，下载文件，读取文件内容等。...
05月10日206 views评论web
服务器
记一次跨站脚本攻击审计过程
前言 前面的文章分享了一些Java中跨站脚本攻击的审计思路。结合github上某实际的代码环境进行相关的实战，以下记录相关的审计过程。 相关过程 首先拿...
05月10日83 views评论request
关键字
JaveWeb中常见的信息泄漏——DWR类测试地址
关于DWR DWR（Direct Web Remoting）是一个用于改善web页面与Java类交互的远程服务器端Ajax开源框架，可以帮助开发人员开发包含AJAX技术的网站。...
05月09日658 views评论java
javascript
漫谈Java反序列化
前言 Java的反序列化漏洞探索出了Java安全的新纪元。开发人员为什么要反序列化呢？众所周知，用户和服务器进行交互时，会传输一下数据，数据传输前需要格式化，将数据转化成服务...
05月09日63 views评论java
序列化
JavaWeb中常见的信息泄漏—Hystrix面板
关于Hystrix 在微服务的应用场景中，通常会有很多层的服务调用。应用程序有数十个依赖关系，每个依赖关系在某些时候不可避免的会出现问题（例如调用响应时间过长或不可用）。如果一...
05月08日679 views评论服务
架构
从安全角度谈Java反射机制--序章
前言 众所周知，Java目前影响最大的是反序列化漏洞，换一句话说Java安全是从反序列化漏洞开始，但反序列化漏洞又可以基于反射，这次笔者带你走进Java安全的大门。 &ems...
05月08日46 views评论java
漏洞
Oracle注入简单挖掘-绕过姿势
Oracle注入简单挖掘-绕过姿势 背景 在进行SQLi测试的时候，我们会发现我们提交的一些Payload会被WAF或者Filter过滤拦截掉。因此，通过优化的Payload在...
05月08日395 views评论web
注入
JavaWeb中的权限控制——Spring Security
SpringSecurity概述 Spring Security是一个灵活、强大和可定制的身份验证和访问控制框架，以确保基于Spring的Java Web应用程序的安全。 &...
05月07日537 views评论servlet
身份验证
6