CommonsCollections2 反序列化利用链分析
在 ysoserial中 commons-collections2 是用的 PriorityQueue reaObject 作为反序列化的入口 那么就来看一下 java.util.PriorityQueue.java 的 readObject方法 ...
原文：JAVA反序列化之URLDNS链分析
前言 从之前shiro fastjson等反序列化漏洞刚曝出的时候，就接触ysoserial的工具利用了，不过这么久都没好好去学习过其中的利用链，这次先从其中的一个可以说是最简单的利用链URLDNS开始学起。 分析 单独看URLDNS的利用链，ysoserial的URLDNS代码：https: github.com frohoff ysoserial blob master src main ja ...
2020-08-23 18:12 0 901 推荐指数：
相关推荐
Yii框架反序列化RCE利用链分析
影响范围 Yii2 < 2.0.38 测试版本 yii-basic-app-2.0.37.tgz 原理我这边看了一下,是能够看懂,但是我是菜鸡,反序列化的链我构造不出来=。= 漏洞位于 /vendor/yiisoft/yii2/db ...
Java反序列化漏洞通用利用分析
2015年11月6日，FoxGlove Security安全团队的@breenmachine 发布的一篇博客[3]中介绍了如何利用Java反序列化漏洞，来攻击最新版的WebLogic、WebSphere、JBoss、Jenkins、OpenNMS这些大名鼎鼎的Java应用，实现远程代码执行 ...
Java安全之Dubbo反序列化漏洞分析
Java安全之Dubbo反序列化漏洞分析 0x00 前言 最近天气冷，懒癌又犯了，加上各种项目使得本篇文断断续续。 0x01 Dubbo 概述 Dubbo是阿里巴巴开源的基于 Java 的高性能 RPC（一种远程调用） 分布式服务框架（SOA），致力于提供高性能和透明化的RPC远程服务 ...
java基础( 九)-----深入分析Java的序列化与反序列化
序列化是一种对象持久化的手段。普遍应用在网络传输、RMI等场景中。本文通过分析ArrayList的序列化来介绍Java序列化的相关内容。主要涉及到以下几个问题： 怎么实现Java的序列化 为什么实现了java.io.Serializable接口才能被序列化 transient的作用 ...
Apache Shiro Java反序列化漏洞分析
1. 前言 最近工作上刚好碰到了这个漏洞，当时的漏洞环境是： shiro-core 1.2.4 commons-beanutils 1.9.1 最终利用ysoserial的Comm ...
Java安全之JBoss反序列化漏洞分析
Java安全之JBoss反序列化漏洞分析 0x00 前言 看到网上的Jboss分析文章较少，从而激发起了兴趣。前段时间一直沉迷于工具开发这块，所以打算将jboss系列反序列化漏洞进行分析并打造成GUI的工具集。当然反序列化回显这块也是需要解决的一大问题之一，所以下面会出一系列文章对该漏洞的分析 ...
Java反序列化漏洞Apache CommonsCollections分析
Java反序列化漏洞Apache CommonsCollections分析 cc链，既为Commons-Collections利用链。此篇文章为cc链的第一条链CC1。而CC1目前用的比较多的有两条链，LazyMap和TransformedMap。在ysoserial工具中，利用 ...