java反序列化Commons-Collections1分析
AnnotationInvocationHandler关键类 Commons-Collections1也是利用InvokerTransformer类中的transform方法反射机制执行命令。实验用的是commons-collections 3.1这里说一下为什么调用构造 ...
原文：java反序列化Commons-Collections5分析
BadAttributeValueException 参考链接的第一篇文章主要写的是poc怎么构造的，思路很清晰了，这篇文章从逆向分析，看下怎么反序列的。调用链如下： BadAttributeValueException.readObject gt TiedMapEntry.toString gt LazyMap.get gt ChainedTransformer.transform 执行BadA ...
2018-12-30 13:49 0 654 推荐指数：
相关推荐
Apache Commons Collections反序列化研究
4.AnnotationInvocationHandler反序列化触发TransformedMap类调用链发生 ...
Apache Commons Collections 反序列化详细分析学习总结
0x01.环境准备: Apache Commons Collections 3.1版本，下载链接参考： https://www.secfree.com/a/231.html jd jui地址(将jar包转化为java源码文件)： https://github.com ...
WebLogic Commons Collections组件反序列化漏洞(CVE-2015-4852)
及4.0版本未能正确验证用户输入，其InvokerTransformer类在反序列化来自可疑域的数据时 ...
JAVA反序列化之URLDNS链分析
前言 从之前shiro、fastjson等反序列化漏洞刚曝出的时候，就接触ysoserial的工具利用了，不过这么久都没好好去学习过其中的利用链，这次先从其中的一个可以说是最简单的利用链URLDNS开始学起。 分析 单独看URLDNS的利用链，ysoserial的URLDNS代码：https ...
Java反序列化漏洞通用利用分析
2015年11月6日，FoxGlove Security安全团队的@breenmachine 发布的一篇博客[3]中介绍了如何利用Java反序列化漏洞，来攻击最新版的WebLogic、WebSphere、JBoss、Jenkins、OpenNMS这些大名鼎鼎的Java应用，实现远程代码执行 ...
Java安全之Dubbo反序列化漏洞分析
Java安全之Dubbo反序列化漏洞分析 0x00 前言 最近天气冷，懒癌又犯了，加上各种项目使得本篇文断断续续。 0x01 Dubbo 概述 Dubbo是阿里巴巴开源的基于 Java 的高性能 RPC（一种远程调用） 分布式服务框架（SOA），致力于提供高性能和透明化的RPC远程服务 ...
Java安全之Fastjson反序列化漏洞分析
Java安全之Fastjson反序列化漏洞分析 首发：先知论坛 0x00 前言 在前面的RMI和JNDI注入学习里面为本次的Fastjson打了一个比较好的基础。利于后面的漏洞分析。 0x01 Fastjson使用 在分析漏洞前，还需要学习一些Fastjson库的简单使用 ...