ref | CN-SEC 中文网

代码审计

JDK 高版本下 JNDI 注入深度剖析

JDK 高版本 JNDI 注入限制rmi 协议限制测试 pocimport javax.naming.Context; import javax.naming.InitialContext; pu...

04月10日7 views评论

阅读全文

业务逻辑漏洞的非线性穿透挖掘方法论(AI)

方法论核心：跳出传统输入输出模型，挖掘系统间时空错位漏洞一、负时间维度攻击（案例：保险回溯赔付漏洞）原理：利用业务系统对"未来时态"和"过去时态"的叠加态处理缺陷某车险平台存在"历史保单回溯"...

03月06日安全文章18 views评论

阅读全文

安全文章

SRC挖掘 | fastjson反序列化漏洞实战

1、前言前段时间挖掘src遇到了两个fastjson反序列化漏洞，分享一下挖掘思路与打法。2、漏洞挖掘漏洞1、该小程序需要输入账号密码才能访问，这种时候可以通过反编译小程序代码，拼接路径接口进行测试。...

03月05日21 views评论

阅读全文

【Django REF】Django REF 常用知识点汇总

1. 序列化器（Serializers） 1.1 自定义字段 1.1.1、直接继承serializers.Field并重写关键方法通过继承serializers.Field类，并重写to_repre...

02月26日安全文章15 views评论

阅读全文

安全新闻

FINALDRAFT 恶意软件利用微软Graph API进行间谍活动

导读安全研究人员发现一项新的网络攻击活动，该活动针对某个未具名南美国家的外交部，攻击者使用定制的恶意软件授予对受感染主机的远程访问权限。Elastic Security Labs 于 2024 年 ...

02月14日32 views评论

阅读全文

安全漏洞

滥用 libxml2 特性绕过 GitHub Enterprise 上的 SAML 身份验证 (CVE-2025-23369)

去年，GitHub 针对影响其 SAML 身份验证实施的问题发布了一些 CVE，例如，您可以在 ProjectDiscovery 博客上阅读有关 CVE-2024-4985/CVE-2024-948 ...

02月10日32 views评论

阅读全文

安全百科

最近跟jdbc有关的新知识——ldap篇

1， trustSerialData=false在jdk11中，新增了com.sun.jndi.ldap.object.trustSerialData开关，但一直默认为true，一直到JDK20，才改...

01月22日18 views评论

阅读全文

安全开发

C#黑客编程必须掌握的知识 (上)

C#黑客编程必须掌握的知识 (上)Win32API平台调用托管代码调用win32API必须的三个步骤：获得非托管函数的信息，即dll的名称，需要调用的非托管函数名等信息在托管代码中对非托管函数进行声明...

12月20日11 views评论

阅读全文

安全闲碎

技术杂谈

本篇主要分享一些关于近期所看到或碰到的一些问题的个人开发。关于fastjson触发get方法（1）某些只存在getter不存在setter的可以触发，如fastjson<=1.2.24时候的Te...

11月14日14 views评论

阅读全文

CTF专场

2024网鼎杯白虎组初赛---WriteUp（部分，仅供参考学习）

白虎组“反作弊监控”（来源网顶杯官方）本文字数：1947｜预计3分钟读完“网鼎杯”是迄今为止全球规模最大、覆盖面最广的国家级网络安全赛事，被称为网络安全“奥运会”，2024年网鼎杯第4届。白虹贯日，虎...

11月01日526 views评论

阅读全文

安全文章

docker 主机文件读取(git CVE-2022-39253) 分析与复现

1组件简介Docker是一种开源的轻量级容器技术，可以让开发人员将应用程序和依赖关系打包在一个镜像中，便于随时随地部署。它通过进程隔离技术隔离应用程序和底层操作系统，使应用程序可以在任何地方运行，提高...

10月21日13 views评论

阅读全文

安全闲碎

Spring Cloud Gateway下的GC停顿排查之旅

01 背景在微服务架构体系流行的当下，Spring Cloud全家桶已经是大多数团队的首选，我们也不例外，并且选择了Spring Cloud Gateway作为了业务网关，进行了一些通用能力的开发...

10月18日11 views评论

阅读全文

JDK 高版本下 JNDI 注入深度剖析

业务逻辑漏洞的非线性穿透挖掘方法论(AI)

SRC挖掘 | fastjson反序列化漏洞实战

【Django REF】Django REF 常用知识点汇总

FINALDRAFT 恶意软件利用微软Graph API进行间谍活动

滥用 libxml2 特性绕过 GitHub Enterprise 上的 SAML 身份验证 (CVE-2025-23369)

最近跟jdbc有关的新知识——ldap篇

C#黑客编程必须掌握的知识 (上)

技术杂谈

2024网鼎杯白虎组初赛---WriteUp（部分，仅供参考学习）

docker 主机文件读取(git CVE-2022-39253) 分析与复现

Spring Cloud Gateway下的GC停顿排查之旅

在线咨询

微信