Fastjson反序列化漏洞利用分析 ​ 背景 在推动Fastjson组件升级的过程中遇到一些问题，为帮助业务同学理解漏洞危害，下文将从整体上对其漏洞原理及利用方式做归纳总结，主要是一些概述性和 ...

Java安全之基于Tomcat实现内存马 0x00 前言 在近年来红队行动中，基本上除了非必要情况，一般会选择打入内存马，然后再去连接。而落地Jsp文件也任意被设备给检测到，从而得到攻击路径，删除 ...

目录 0x00前言 0x01触发原因 0x02调试分析 0x03补丁分析 0x04参考文章 影响版本： 1.1.0-1.1.12 1.2.0-1 ...

Java安全之Fastjson内网利用 0x00 前言 在打Fastjson的时候，基本上都是使用JNDI注入的方式去打，也就是 JdbcRowSetImpl 链分析的链去打，但是遇到一些不出网 ...

Java安全之XStream 漏洞分析 0x00 前言 好久没写漏洞分析文章了，最近感觉在审代码的时候，XStream 组件出现的频率比较高，借此来学习一波XStream的漏洞分析。 0x01 ...

目录 1 基础 1.1 fastjson反序列化和JNDI 1.2 向spring mvc注入controller 1.3 获取request和 ...

Java安全之原生readObject方法解读 0x00 前言 在上篇文章分析shiro中，遇到了Shiro重写了ObjectInputStream的resolveClass导致的一些基于Invo ...

目录 0 环境搭建 1 漏洞触发点 2 构建poc 3 总结 参考 0 环境搭建 影响范围： Spring Cloud Gateway 3.1.x ...

Java安全之Weblogic内存马 0x00 前言 发现网上大部分大部分weblogic工具都是基于RMI绑定实例回显，但这种方式有个弊端，在Weblogic JNDI树里面能将打入的RMI后门 ...

Java安全之Fastjson反序列化漏洞分析 首发：先知论坛 0x00 前言 在前面的RMI和JNDI注入学习里面为本次的Fastjson打了一个比较好的基础。利于后面的漏洞分析。 0x01 ...