Java 審計之SSRF篇
Java 審計之SSRF篇 0x00 前言 本篇文章來記錄一下Java SSRF的審計學習相關內容。 0x01 SSRF漏洞詳解 原理： 服務端提供了從其他服務器應用獲取數據的功能且沒有對目標地址做過濾與限制。 大部分的web服務器架構中，web服務器自身都可以訪問互聯網和服務器所在 ...
原文：Java 審計之SSRF篇（續）
Java 審計之SSRF篇 續 x 前言 先來說說為啥會有該篇章，在剛剛碼完上篇文章后，后來又去找了找在Java中的一些遠程請求的類。果然翻到了一些有意思的東西，在這里就拿出來給大家分享一下。 x imageIO中的SSRF imageIO類是jdk中自帶的一個類，主要用於操作一些圖片文件。比如讀寫 壓縮圖片。 ssrf 類： servlet: 寫完后來測試一下，先來測試一下傳入一個圖片的url試 ...
2020-09-17 06:19 0 425 推薦指數：
相關推薦
Java 審計之XXE篇
Java 審計之XXE篇 0x00 前言 在以前XXE漏洞了解得並不多，只是有一個初步的認識和靶機里面遇到過。下面來 深入了解一下該漏洞的產生和利用。 0x01 XXE漏洞 當程序在解析XML輸入時，允許引用外部實體，導致能夠引用一個外部惡意文件，可導致執行系統命令，內網端口檢測，文件讀取 ...
Java審計之XSS篇
Java審計之XSS篇 0x00 前言 繼續 學習一波Java審計的XSS漏洞的產生過程和代碼。 0x01 Java 中XSS漏洞代碼分析 xss原理 xss產生過程： XSS代碼分析 在php里面會使用echo對用戶輸入的參數進行直接輸出，導致了xss漏洞的產生。而在Java ...
Java審計之SQL注入篇
Java審計之SQL注入篇 0x00 前言 本篇文章作為Java Web 審計的一個入門文，也是我的第一篇審計文，后面打算更新一個小系列，來記錄一下我的審計學習的成長。 0x01 JDBC 注入分析 在Java里面常見的數據庫連接方式也就那么幾個，分別是JDBC，Mybatis ...
Java審計之命令執行篇
Java審計之命令執行篇 0x00 前言 在Java中能執行命令的類其實並不多，不像php那樣各種的命令執行函數。在Java中目前所知的能執行命令的類也就兩種，分別是Runtime和 ProcessBuilder類。 0x01 Runtime 執行命令分析 關於Runtime具體的使用 ...
審計 6 SSRF和任意文件讀取
在第5行發現 讀取的文件后，將文件進行了輸出。 所以猜測此處可能存在SSRF 和 任意文件讀取 搜索關鍵變量$_SESSION['avatar'] 發現在登陸 和修改密碼 讀取了改變量，而上傳的地方可以修改該變量 。 因為所有的$_SESSION['avatar ...
Java代碼審計入門篇
作者：i春秋核心白帽yanzmi 原文來自：https://bbs.ichunqiu.com/thread-42149-1-1.html 本期斗哥帶來Java代碼審計的一些環境和工具准備。 Java這個語言相對於PHP來說還是比較復雜的，所以一開始接觸到Java源碼審計的時候會遇到一些 ...
記一次簡單的PHP代碼審計（SSRF案例）
題目鏈接： http://oj.momomoxiaoxi.com:9090/ 用dirsearch對網址進行掃描，發現robots.txt 命令行： 於是輸入網址打開這 ...