rmi - 第 12 | CN-SEC 中文网

代码审计

探索高版本 JDK 下 JNDI 漏洞的利用方法

0x00 前言高版本JDK在RMI和LDAP的trustURLCodebase都做了限制，从默认允许远程加载ObjectFactory变成了不允许。RMI是在6u132, 7u122, 8u113版...

01月20日189 views评论

阅读全文

安全文章

记一次高版本下远程RMI反序列化利用分析

微信又改版了，为了我们能一直相见你的加星和在看对我们非常重要点击“长亭安全课堂”——主页右上角——设为星标🌟期待与你的每次见面～背景最近在一个项目的内网环境中遇到多个开着 RMI 端口的目标，按照之前...

01月19日420 views评论

阅读全文

代码审计

探索高版本 JDK 下 JNDI 漏洞的利用方法

本文首发于跳跳糖社区，转载请注明原文链接。https://tttang.com/archive/1405/前言高版本JDK在RMI和LDAP的trustURLCodebase都做了限制，从默认允许远程...

01月19日83 views评论

阅读全文

代码审计

【技术分享】如何高效地捡漏反序列化利用链？

前言之前在文章如何高效地挖掘Java反序列化利用链中提到了我是如何高效挖掘利用链的，这其中提到了工具tabby。目前，tabby开源也有一段时间了，这段时间里有不少小伙伴问我如何在实际环境中更好地使用...

01月06日163 views评论

阅读全文

安全博客

JAVA RMI 反序列化漏洞汇总

RMI（Remote Method Invocation），为远程方法调用，是允许运行在一个Java虚拟机的对象调用运行在另一个Java虚拟机上的对象的方法。这两个虚拟机可以是运行在相同计算机上的不...

01月06日232 views评论

阅读全文

代码审计

【创宇小课堂】代码审计-高版本JNDI注入

JNDI-RMI Analysis流程分析RMI服务端package com.RMI;import com.sun.jndi.rmi.registry.ReferenceWrapper;import ...

01月05日161 views评论

阅读全文

安全文章

温故而知新之某json远程命令执行漏洞总结

网安教育培养网络安全人才技术交流、学习咨询1.FastJson 简介fastjson.jar包原始下载地址：https://github.com/alibaba/fastjsonfastjson用于将...

01月03日364 views评论

阅读全文

先知文章

深入学习rmi工作原理 - las道理

1. 前言随着对rmi反序列化的深入学习，发现它的攻击面并没有一开始理解的浅显。主要还是在看这篇针对RMI服务的九重攻击时，发现攻击中涉及的类和通信协议足以让我单独花上时间研究一阵子了。因此这篇算是...

12月31日84 views评论

阅读全文

SecIN安全技术社区

java安全-java RMI

前言 RPC全称为远程过程调用，通俗点讲就是可以在不同的设备上互联调用其方法，比如client可以远程调用server上的方法。而RMI是jdk中RPC的一种实现方式，通过RMI可以轻松的实现RPC而...

11月17日123 views已关闭评论

阅读全文

安全文章

【技术干货】RMI-攻击方式总结

RMI，是Remote Method Invocation（远程方法调用）的缩写，即在一个JVM中java程序调用在另一个远程JVM中运行的java程序，这个远程JVM既可以在同一台实体机上，也可以在...

10月27日121 views评论

阅读全文

代码审计

Java安全漫谈 - 06.RMI篇(3)

这是代码审计知识星球中Java安全的第六篇文章上一篇我们详细说了如何利用codebase来加载远程类，在RMI服务端执行任意代码。那么，从原理上来讲，codebase究竟是如何传递进而被利用的呢？我们...

09月08日515 views评论

阅读全文

安全漏洞

Metasploit溢出java RMI SERVER命令执行漏洞

利用java RMI SERVER命令执行漏洞，获得目标主机root权限。 Java RMI Server的RMI注册表和RMI激活服务的默认配置存在安全漏洞，可被利用导致代...

08月13日163 views评论

阅读全文

在线咨询

微信