xstream - 第 2 | CN-SEC 中文网

亿赛通电子文档安全管理系统XStream反序列化漏洞任意文件上传利用PoC

0x01 工具介绍亿赛通电子文档安全管理系统（简称：CDG）是一款电子文档安全防护软件，该系统利用驱动层透明加密技术，通过对电子文档的加密保护，防止内部员工泄密和外部人员非法窃取企业核心重要数据资产...

08月10日安全漏洞84 views评论

阅读全文

安全漏洞

NextGen Mirth Connect XStream CVE-2023-43208 反序列化漏洞【附poc】

fofa title="Mirth Connect Administrator" 一、漏洞简述 Mirth Connect 是一个由医疗企业广为使用的开源数据一体化平台，允许不同系统以标...

05月31日149 views评论

阅读全文

安全文章

某次支援打点——你对java有多熟悉

1. SOAP+XStream反序列化扫到一个非常熟悉的页面，soap协议会给出调用协议的具体方法，每个参数都可见，从方法名+参数名能大概猜出来这个接口是干嘛的。h...

05月29日12 views评论

阅读全文

攻防利器-海康威视综合利用工具

01 工具获取 https://github.com/P1nganD/Rookie 一、漏洞利用本工具仅提供给安全测试人员进行安全自查使用用户滥用造成的一切后果与作者无关使用者请务必遵守当地法律本程...

05月25日安全工具155 views评论

阅读全文

安全工具

Rookie：海康威视/亿赛通漏洞综合利用工具

工具简介 Rookie是@P1ng@n师傅写的一个漏洞综合利用工具，目前支持检测Hikvision海康威视和亿赛通相关漏洞，作者后续可能还会添加其他漏洞，可以持续关注下...。由于java水平有限，...

05月24日363 views评论

阅读全文

安全漏洞

亿赛通电子文档安全管理系统formType反序列化漏洞

【亿赛通电子文档安全管理系统formType存在xstream反序列化漏洞】资产测绘 app="亿赛通-电子文档安全管理系统" 漏洞复现 POST /CDGServer3/formType HTTP...

02月27日74 views评论

阅读全文

安全漏洞

Xstream反序列化分析（CVE-2021-39149）

扫码领资料获网安教程前几个月XStream爆出一堆漏洞，这两天翻了翻，发现这波洞应该是黑名单绕过的最后一波了。因为在最新版的XStream 1.4.18中已经默认开启白名单的安全框架，按照XStrea...

01月06日62 views评论

阅读全文

代码审计

Xstream反序列化漏洞

Xstream简介XStream是Java类库，用来将对象序列化成XML （JSON）或反序列化为对象。说白了就是我们可以将Java对象转换为XML，也可以将XML字符串转换为Java对象。Xstre...

12月19日39 views评论

阅读全文

CTF专场

春秋云境——Delivery WriteUp

外网XStream打点拿到IP，对外网做信息搜集，外网的FTP允许匿名登录，FTP里有1.txt和pom.xml，1.txt是空的用mget命令下载文件：mget 1.txtmget pom.xmlp...

07月21日107 views评论

阅读全文

代码审计

Java 反序列化之 XStream 反序列化

0x01 XStream 基础 XStream 简介 XStream 是一个简单的基于 Java 库，Java 对象序列化到 XML，反之亦然(即：可以轻易的将 Java 对象和 XML 文档相互转换...

06月25日47 views评论

阅读全文

安全漏洞

【漏洞风险通告】XStream远程代码执行漏洞(CVE-2021-29505)

背景描述 XStream是一个Java类库，主要用来将Java对象序列化成XML或反序列化为对象，可处理的对象类型几乎没有限制。近日，XStream官方发布最新版本，披露了XStream远程代码执行漏...

05月15日50 views评论

阅读全文

安全漏洞

XStream 拒绝服务漏洞（CVE-2022-40151/41966）

XStream 多个拒绝服务漏洞及POCCVE-2022-40151/41966XStream是Java类库，用来将对象序列化成XML （JSON）或反序列化为对象。XStream是自由软件，可以在B...

01月09日179 views评论

阅读全文