var2 | CN-SEC 中文网

安全文章

fastjson 原生配合 jdk 原生的利用总结

免责声明：由于传播、利用本公众号所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢...

02月24日8 views评论

阅读全文

安全文章

Java 反序列化回显链研究：漏洞检测工程化

回显方案选择实战中反序列化漏洞利用时，经常会遇到不出网的情况，命令执行成功，但拿不到执行结果，也不能回连这种情况可能是内网主机网络配置，禁用了tcp/dns/icmp等协议...

02月24日12 views评论

阅读全文

安全文章

突破文件后缀限制实现任意文件上传

原文链接：https://forum.butian.net/share/4129 作者：中铁13层打工人 0x1 前言之前人力系统审计文章中发现了鸡肋的上传点，本着学习的心态看看能不能扩...

02月18日16 views评论

阅读全文

安全文章

搜索实战分析某红队魔改哥斯拉Webshell

0x01 前言前两天从某次演习中拿到了一个webshell样本，该webshell通信未产生相关任何告警，因此该样本在免杀以及bypass相关waf和ids设备上是非常值得学习的，分析过程中不难发现其...

02月15日18 views评论

阅读全文

安全文章

突破后缀限制实现任意文件上传

文章作者：奇安信攻防社区（中铁13层打工人）文章来源：https://forum.butian.net/share/4129 1► 前言之前人力系统审计文章中发现了鸡肋的上传点，本着学习的心态看看...

02月14日15 views评论

阅读全文

安全文章

红队基础设施建设与改造（四）——深入解析Cobaltstrike（二开环境、认证过程分析、Beacon分析）

文章其实22年就写了，因为一些原因没有发，本来是笔记，删删改改处理了一些东西后发布，过年了终于有点时间了..本文所述的一切技术仅供网络安全研究学习之用，请勿用于任何的违法及商业用途，否则由此所产生的一...

01月27日14 views评论

阅读全文

安全文章

JNDI的基础利用总结（下篇）

JNDI核心原理详细分析 01 加载远程codebase中的reference 适用前提：目标出网 jdk<8u191 举例分析此处使用的是ldap协议，因此受影响的版本即8u...

11月14日8 views评论

阅读全文

安全博客

浅析H3C-CAS虚拟化管理系统权限绕过致文件上传漏洞

浅析H3C-CAS虚拟化管理系统权限绕过致文件上传漏洞写在前面之前四月就关注到了，可是后面不知道什么原因某步下了公众号，今天又被再次提起，当时分析了一半也就是权限相关的调用，现在补上另一半正文鉴权相关...

10月29日23 views评论

阅读全文

安全博客

亿赛通电子文档安全管理系统远程代码执行漏洞浅析

亿赛通电子文档安全管理系统远程代码执行漏洞浅析漏洞分析最近天天曝亿赛通的漏洞，又是这个新手向的项目，有点烦其实不是很想写的，本次原理也很简单熟悉的人可能知道这个系统在windows与linux下有点区...

10月29日19 views评论

阅读全文

安全文章

浅谈 JEP290

0x01 前言属于是拖了很久的文章了，4.18 筹划着开始写，6.22 左右才真正开始提笔。一开始提到这个概念可能会比较懵逼，其实这就是为什么高版本 jdk 有部分能打 jndi，打不了 RMI8u1...

10月21日11 views评论

阅读全文

安全文章

某OA-任意用户登录研究分析实记

某微OA-任意用户登录研究分析记录，介绍踩坑网传漏洞和发现刚补丁漏洞的过程记录。0x00 前言在攻防演练期间，大家都有所耳闻，听到过某OA的存在任意用户登录的漏洞，可能听说最多的还都是/mobile/...

10月13日8 views评论

阅读全文

安全文章

帆软报表 V8.0 组合拳漏洞分析及复现

漏洞简述 FineReport是一款企业级报表设计和数据可视化软件，纯Java编写的企业级web报表工具。它提供了强大的报表设计、数据分析和数据可视化功能，旨在帮助企业用户轻松地创建高质量的报表和数据...

10月10日114 views已关闭评论

阅读全文

fastjson 原生配合 jdk 原生的利用总结

Java 反序列化回显链研究：漏洞检测工程化

突破文件后缀限制实现任意文件上传

搜索实战分析某红队魔改哥斯拉Webshell

突破后缀限制实现任意文件上传

红队基础设施建设与改造（四）——深入解析Cobaltstrike（二开环境、认证过程分析、Beacon分析）

JNDI的基础利用总结（下篇）

浅析H3C-CAS虚拟化管理系统权限绕过致文件上传漏洞

亿赛通电子文档安全管理系统远程代码执行漏洞浅析

浅谈 JEP290

某OA-任意用户登录研究分析实记

帆软报表 V8.0 组合拳漏洞分析及复现

在线咨询

微信