Java 审计之SSRF篇
Java 审计之SSRF篇 0x00 前言 本篇文章来记录一下Java SSRF的审计学习相关内容。 0x01 SSRF漏洞详解 原理： 服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。 大部分的web服务器架构中，web服务器自身都可以访问互联网和服务器所在 ...
原文：Java 审计之SSRF篇（续）
Java 审计之SSRF篇 续 x 前言 先来说说为啥会有该篇章，在刚刚码完上篇文章后，后来又去找了找在Java中的一些远程请求的类。果然翻到了一些有意思的东西，在这里就拿出来给大家分享一下。 x imageIO中的SSRF imageIO类是jdk中自带的一个类，主要用于操作一些图片文件。比如读写 压缩图片。 ssrf 类： servlet: 写完后来测试一下，先来测试一下传入一个图片的url试 ...
2020-09-17 06:19 0 425 推荐指数：
相关推荐
Java 审计之XXE篇
Java 审计之XXE篇 0x00 前言 在以前XXE漏洞了解得并不多，只是有一个初步的认识和靶机里面遇到过。下面来 深入了解一下该漏洞的产生和利用。 0x01 XXE漏洞 当程序在解析XML输入时，允许引用外部实体，导致能够引用一个外部恶意文件，可导致执行系统命令，内网端口检测，文件读取 ...
Java审计之XSS篇
Java审计之XSS篇 0x00 前言 继续 学习一波Java审计的XSS漏洞的产生过程和代码。 0x01 Java 中XSS漏洞代码分析 xss原理 xss产生过程： XSS代码分析 在php里面会使用echo对用户输入的参数进行直接输出，导致了xss漏洞的产生。而在Java ...
Java审计之SQL注入篇
Java审计之SQL注入篇 0x00 前言 本篇文章作为Java Web 审计的一个入门文，也是我的第一篇审计文，后面打算更新一个小系列，来记录一下我的审计学习的成长。 0x01 JDBC 注入分析 在Java里面常见的数据库连接方式也就那么几个，分别是JDBC，Mybatis ...
Java审计之命令执行篇
Java审计之命令执行篇 0x00 前言 在Java中能执行命令的类其实并不多，不像php那样各种的命令执行函数。在Java中目前所知的能执行命令的类也就两种，分别是Runtime和 ProcessBuilder类。 0x01 Runtime 执行命令分析 关于Runtime具体的使用 ...
审计 6 SSRF和任意文件读取
在第5行发现 读取的文件后，将文件进行了输出。 所以猜测此处可能存在SSRF 和 任意文件读取 搜索关键变量$_SESSION['avatar'] 发现在登陆 和修改密码 读取了改变量，而上传的地方可以修改该变量 。 因为所有的$_SESSION['avatar ...
Java代码审计入门篇
作者：i春秋核心白帽yanzmi 原文来自：https://bbs.ichunqiu.com/thread-42149-1-1.html 本期斗哥带来Java代码审计的一些环境和工具准备。 Java这个语言相对于PHP来说还是比较复杂的，所以一开始接触到Java源码审计的时候会遇到一些 ...
记一次简单的PHP代码审计（SSRF案例）
题目链接： http://oj.momomoxiaoxi.com:9090/ 用dirsearch对网址进行扫描，发现robots.txt 命令行： 于是输入网址打开这 ...