mchange | CN-SEC 中文网

代码审计

JavaSec | c3p0反序列化分析

扫码领资料获网安教程本文由掌控安全学院 - 3358756550 投稿来Track安全社区投稿~ 千元稿费！还有保底奖励~（https://bbs.zkaq.cn）简介C3P0是JDBC的一个连接池...

04月14日8 views评论

阅读全文

安全文章

C3P0 反序列化链 & 不出网利用

C3P0 反序列化链 & 不出网利用前言看一下目录:声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。分析过程ysoseri...

03月17日8 views评论

阅读全文

安全文章

fastjson <=1.2.47 c3p0 利用

经常有学员问到fastjson c3p0 怎么利用在 fastjson 漏洞利用中，c3p0 依赖通常用于 AutoType 相关的反序列化攻击。例如，攻击者可以利用 fastjson 解析 JSO...

03月10日13 views评论

阅读全文

安全文章

高版本Fastjson在Java原生反序列化中的利用

目录• 前言• 绕过思路一：从已知gadget中寻找TemplatesImpl替代品• ReferenceSerialized• LdapAttribute• 绕过思路二：利用JDBC-Attack替...

01月12日31 views评论

阅读全文

安全博客

c3p0的三个gadget的学习

c3p0的三个gadget的学习目前c3p0有三种方式getshell加载远程类jndihex序列化字节加载器前两个可以放在一起学习,在com.mchange.v2.c3p0.impl.PoolBac...

10月28日13 views评论

阅读全文

代码审计

二次反序列化学习（二）

网络安全在线讨口子image-20240119214240522c3p0c3p0是用于创建和管理连接，利用“池”的方式复用连接减少资源开销，和其他数据源一样，也具有连接数控制、连接可靠性测试、连接泄露...

01月22日23 views评论

阅读全文

代码审计

C3P0反序列化链浅析

C3P0反序列化链浅析0x0 前言关于C3P0反序列化链也许被很多人忽视了，网上与此相关的分析相对而言也较少，给人一种第一眼鸡肋的感觉，但是笔者有过切身经历，通过Fuzz的手段利用这个链打成功了某...

10月01日33 views评论

阅读全文

代码审计

ysoserial的C3P0利用链分析

No.1声明由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，雷神众测以及文章作者不为此承担任何责任。雷神众测拥有对此文章的修改和解释权。如欲转载或传播此文章，必...

05月23日40 views评论

阅读全文

JavaSec | c3p0反序列化分析

C3P0 反序列化链 & 不出网利用

fastjson <=1.2.47 c3p0 利用

高版本Fastjson在Java原生反序列化中的利用

c3p0的三个gadget的学习

二次反序列化学习（二）

C3P0反序列化链浅析

ysoserial的C3P0利用链分析

在线咨询

微信