readobject - 第 2 | CN-SEC 中文网

安全博客

Java 反序列化学习

Class Loader 讲的比较清楚的文章：https://www.cnblogs.com/ityouknow/p/5603287.html 类与类加载器对于任何一个类，都需要由加载它的类加载器和这...

04月03日14 views评论

阅读全文

安全闲碎

Java 脏数据填充探索

前言有师傅提出了 Yso JavaHack 的生成序列化payload需要填充脏数据的需求，由于yak引擎没有java环境，所以不能直接对gadget封装，只能对数据化流操作，记录下分析过程。什么是脏...

03月22日15 views评论

阅读全文

安全百科

一篇文章说清楚URLDNS链

接上一篇讲到java原生的序列化和反序列化方法，这篇通过URLDNS链为例展开讲讲java原生序列化和反序列化的危害，以及通过URLDNS链的分析来简单入门反序列化漏洞的代码审计。java序列化和反序...

01月24日25 views评论

阅读全文

安全博客

Java代码审计-CommonsCollections1链分析

0x00 前言本文所讲述的CommonsCollections1链也被称为CC1链，它是属于Apache Commons Collections是Java中应用广泛的一个库，Apache Commo...

12月14日9 views评论

阅读全文

安全漏洞

用友NC6.5 XbrlPersistenceServlet.class 反序列化漏洞分析及复现

环境配置l 系统：Winserver2008Rl 数据库：Oracle11Gl JDK：java 1.7.0_51l 复现版本：用友NC6.5源码分析Jar包所在目录为：/yonyouNC6.5/mo...

11月22日155 views评论

阅读全文

代码审计

JAVA反序列化系列第一课：URLDNS链全解

哈喽小伙伴们，好长时间没有更新了，因为我们实验室的师傅们都比较忙，本人也刚转型去做数据安全方面，但是大家不用担心，建立实验室的初心我们会一直守护下去，那...

10月29日27 views评论

阅读全文

安全文章

Mysql JDBC反序列化

明天要面试，不想复习啊。之前不怎么学习这个漏洞。但是最近被问了两次，而且后来我发现不同类型数据库的反序列化漏洞还挺多的。看了看资料略写写还算简单。主要是分析反序列化部分，CC链部分不管，mysql协议...

10月26日20 views评论

阅读全文

代码审计

Java反序列化漏洞基础知识 | 干货

基础知识 java序列化把 Java 对象转换为字节序列的过程便于保存在内存、文件、数据库中，ObjectOutputStream类的 writeObject() 方法可以实现序列化。java反序列化...

05月27日41 views评论

阅读全文

代码审计

【java安全】从0到1--第4章

点击蓝字关注我们微信搜一搜暗魂攻防实验室知识点1、JavaEE-反序列化-解释&使用&安全2、JavaEE-安全-利用链&直接重写方法3、JavaEE-安全-利用链&外...

05月25日35 views评论

阅读全文

代码审计

JAVA反序列化初食

基本常识序列化类实例->字节流反序列化字节流->类实例序列化时自动调用 writeObject反序列化 readObject类要实现序列化应满足的条件实现java.io.Seriali...

05月17日36 views评论

阅读全文

安全文章

Weblogic安全漫谈（四）

黑名单机制必然会推动两种研究方向的发展：一是挖掘不在黑名单的新组件，是为绕过规则；二是发掘检查的盲区，是为绕过逻辑。CVE-2020-14756二次反序列化具有对抗检查逻辑的天生丽质，在CVE-201...

04月17日30 views评论

阅读全文

安全文章

hutool XML反序列化漏洞(CVE-2023-24162)

漏洞简介　　Hutool 中的XmlUtil.readObjectFromXml方法直接封装调用XMLDecoder.readObject解析xml数据，当使用 readObjectFromXml ...

03月06日89 views评论

阅读全文