墨衍会员
·
AI 创作全网分发
墨衍智能分发
本文由作者通过墨衍一键同步至各平台
1分发平台
1.1k累计阅读
1.2k平均单平台
已同步平台
优快云
微信公众号
微博
知乎
掘金
百家号
博客园
抖音
小红书
你的文章也可以这样分发
墨衍会员 ¥399起/年，写一次发全网
我也要
AI摘要
本文介绍了一款用于Hessian反序列化漏洞的利用工具，支持多种攻击手段如DNSlog探测、文件写入等，并提供了测试环境及使用方法。
如果觉得该文章有帮助的，麻烦师傅们可以搜索下微信公众号：良月安全。点个关注，感谢师傅们的支持。
本号所发布的所有内容，包括但不限于信息、工具、项目以及文章，均旨在提供学习与研究之用。所有工具安全性自测。如因此产生的一切不良后果与文章作者和本公众号无关。如有涉及公司与个人敏感信息，侵权烦请告知，我们会立即删除并致歉。
星球里有个师傅问了反序列化文件怎么生成的，简单写个小工具。
HessianTest.war hessian反序列化demo，直接放在tomcat的webapps目录下。
就长这样，注意这里只是本地测试环境的路径。
工具目前只是实现了几个比较简单的利用方式，其他利用方式待完善，仅做学习参考，有不好的地方大佬勿喷
命令回显
bcel注入冰蝎内存马
bcel注入suo5内存马
星球内获取工具。方便师傅们二开完善，工具源码也放置在星球内。
ShiroAttack2工具深度解析：从Shiro-550漏洞原理到自动化攻防实战
在Java Web应用安全领域，反序列化漏洞是常见的攻击面之一，其核心原理在于应用对不可信数据的反序列化处理不当，可能导致远程代码执行。Apache Shiro框架的RememberMe功能因默认硬编码AES密钥，形成了经典的Shiro-550反序列化漏洞。攻击者利用此漏洞，通过密钥爆破、构造恶意序列化链，可实现从权限获取到持久化控制。ShiroAttack2作为一款集成化工具，将探测、密钥爆破、命令执行、内存马注入等攻击链自动化，极大降低了漏洞利用门槛。本文从技术实现角度，深入剖析ShiroAttack2
Java Hessian反序列化漏洞
Java Hessian反序列化漏洞复现
Nacos渗透测试中的那些坑：一位安全工程师的实战经验分享
本文分享了Nacos渗透测试中的实战经验，详细解析了从漏洞挖掘到防御加固的全过程。重点探讨了Nacos不同版本的漏洞组合、默认凭证的危害、未授权API的链式攻击以及JWT令牌伪造等关键安全问题，并提供了企业级防御方案和加固检查清单，帮助安全工程师有效提升微服务架构的安全性。
Apache Dubbo Hession反序列化漏洞（CVE-2022-39198）
Apache Dubbo组件存在Hession反序列化漏洞，该漏洞是由于Dubbo hessian-lite 3.2.12及之前版本中存在反序列化漏洞，利用此漏洞可在目标系统上执行恶意代码，最终获取服务器最高权限，漏洞编号：CVE-2022-39198，漏洞威胁等级：高危。
RPC协议安全风险与渗透测试实战指南
远程过程调用（RPC）作为分布式系统通信的核心机制，通过序列化与网络传输实现跨进程服务调用，其设计初衷的透明性在提升开发效率的同时，也带来了固有的安全风险。从协议原理层面看，复杂的序列化/反序列化过程可能引发远程代码执行漏洞，而薄弱或缺失的认证授权机制则为未授权访问敞开了大门。在工程实践中，RPC协议的安全价值在于保障微服务架构、物联网平台及传统企业网络中服务间通信的完整性与机密性。无论是Spring整合Netty构建的高性能RPC服务，还是Windows域环境中广泛使用的MSRPC，亦或是物联网场景下的M
Hessian 反序列化RCE漏洞复现
Hessian是二进制的web service协议，官方对Java、Flash/Flex、Python、C++、.NET C#等多种语言都进行了实现。Hessian和Axis、XFire都能实现web service方式的远程方法调用，区别是Hessian是二进制协议，Axis、XFire则是SOAP协议，所以从性能上说Hessian远优于后两者，并且Hessian的JAVA使用方法非常简单。它使用Java语言接口定义了远程对象，集合了序列化/反序列化和RMI功能。Hessian是一个轻量级的RPC框架。
【Web】浅聊Java反序列化之玩转Hessian反序列化的前置知识
当其Hessian反序列化Map类型的对象的时候，会自动调用其put方法，而put方法又会牵引出各种相关利用链打法。
java反序列化漏洞利用工具
java反序列化漏洞利用工具 jboss版本
Hessian 反序列化及XXL-JOB
我们经常在CTF里见到Java反序列化的题，而如何从CTF过渡到实战中是一个坎儿，今天就说一次在实战中遇到的不出网Hessian反序列化问题。文章所有内容无敏感信息，均为本地环境，只做思路分享。
javaRMI反序列化漏洞验证工具
检测javaRMI反序列化漏洞
《最游记》游戏开发全栈指南：从源码解析到实战部署
本文提供了一份详尽的《最游记》游戏源码全栈开发指南。文章深入解析了这款3D玄幻网游的完整源码结构，涵盖客户端、服务端、引擎和工具链，并提供了从环境搭建、核心模块解析到实战修改与部署的完整流程。对于希望深入理解MMORPG架构的开发者而言，这份指南是宝贵的实战资源。
Dubbo反序列化漏洞深度解析：从原理到修复加固指南
反序列化漏洞是Java生态中影响广泛的高危安全风险，攻击者通过构造恶意数据流，即可在目标服务端触发任意代码执行，导致服务器完全沦陷。理解其底层原理至关重要：Java反序列化机制在还原对象时可能自动调用危险方法链（如Gadget Chain），从而形成从字节流到系统命令的完整利用路径。对于采用RPC框架的微服务架构而言，网络边界上的反序列化入口天然暴露，安全防护尤为关键。Dubbo作为主流RPC框架，默认支持多种序列化协议，其中部分协议因缺乏严格校验而成为攻击面。本文围绕Dubbo反序列化漏洞的成因展开，剖析
VCS 2018 环境下，手把手教你用 UVMC 搞定 SystemC 和 SystemVerilog 混合仿真（附完整代码）
本文详细介绍了在VCS 2018环境下使用UVMC实现SystemC和SystemVerilog混合仿真的完整指南。从环境配置、工具链设置到UVMC通信机制解析，提供了实战案例和高级调试技巧，帮助开发者高效搭建复杂验证环境。特别适合需要处理跨语言仿真的芯片验证工程师。
Dubbo反序列化漏洞排查与修复：从原理到实战加固指南
反序列化是Java RPC框架的核心机制，它将网络字节流还原为Java对象，是跨进程通信的基础。然而，这一过程若缺乏严格的类过滤与安全校验，就可能被攻击者利用构造恶意负载，触发远程代码执行等高危风险。Apache Dubbo作为流行的微服务RPC框架，历史上多次曝出反序列化漏洞，其Hessian2协议默认可反序列化任意类，一旦存在可利用的gadget链，服务便面临被攻破的威胁。本文从漏洞触发原理出发，梳理影响面评估、资产排查、应急止血与版本升级流程，并给出开启白名单过滤、加固RPC鉴权等纵深防御措施，帮助J
RTX 50系显卡（5080/5090D）CUDA 12.8环境下的vLLM部署避坑与实战指南
本文为RTX 5080/5090D显卡用户提供了在CUDA 12.8环境下部署vLLM的完整实战指南。文章详细介绍了从驱动安装、CUDA 12.8环境配置、PyTorch Nightly版本精准匹配，到vLLM源码编译及常见报错排查的全过程，帮助开发者高效利用新一代硬件进行大模型推理。
snmp MIB详解
每个 MIB 对象都由一个对象标识符（OID）和对象类型组成。OID 是一个由多个数字组成的路径（类似于 IP 地址），它标识了 MIB 中对象的层次结构。
【Java序列化、JSON序列化、Hessian序列化】
目录简介JAVA原生序列化Hessian 序列化JSON 序列化 简介 内存中的数据对象只有转换为二进制流才可以进行数据持久化和网络传输。将数据对象转换为二进制流的过程称为对象的序列化（Serialization）。 反之，将二进制流恢复为数据对象的过程称为反序列化（Deserialization）。 序列化需要保留充分的信息以恢复数据对象，但是为了节约存储空间和网络带宽，序列化后的二进制流又要尽可能小。 序列化常见的使用场景是 RPC 框架的数据传输。常见的序列化方式有三种： JAVA原生序列化 Java
YOLOv11全方位改进指南：卷积层、轻量化、注意力、损失函数等创新优化一览
YOLOv11通过八大核心模块的创新设计，在保持YOLO系列实时性的同时显著提升检测精度。本文提出的可变形卷积DCNv4多模态注意力动态解耦头等创新方案，已在工业质检、自动驾驶、无人机巡检等领域成功应用。完整项目地址预训练模型：包含从nano到x六个规格在线演示创新声明首次在YOLO系列集成DCNv4，小目标检测AP提升8.2%提出多模态混合注意力(MMAttention)，兼顾通道与空间关系动态标签分配策略使训练效率提升40%
Dubbo- 序列化方式优化：Hessian / JSON / Protobuf 选型与配置
本文深入探讨了Dubbo框架中三种主流序列化方案（Hessian/JSON/Protobuf）的选型策略与优化配置。通过性能测试数据对比，揭示了各方案在吞吐量、延迟、内存占用和跨语言兼容性等维度的差异：Hessian存在安全隐患且JDK兼容性差，JSON可读性强但性能较差，Protobuf则在性能与跨语言支持上表现最优。文章提供了具体的安全配置建议和代码示例，帮助开发者根据业务场景选择最适合的序列化方案，实现微服务通信的高效与稳定。
第1章：认识OpenClaw
OpenClaw是一个开源的 AI 智能体 Gateway 网关项目名称演变：OpenClaw 原名 Clawdbot，因 Anthropic 商标顾虑在 2026年1月27日更名为 Moltbot（过渡名），最终在1月30日确定为 OpenClaw。三个名字本质是同一个项目，功能完全一致。🏠在你的电脑上运行：完全本地部署，数据隐私有保障📁访问本地文件：可以搜索、读取、编辑你电脑上的文件🔌扩展能力：通过Skills（技能）系统无限扩展功能💬多平台使用。
飞牛fnNAS存储模式RAID 5数据恢复
中介绍了fnNAS存储空间的几个模式，细心的网友应该能感受到，我是非常推崇RAID 5的。但我认为，一般人出现1块硬盘损坏后，就能够赶紧采取处理措施了，再高的容灾等级也无法满足这个用户的需求了。》就完成了飞牛NAS存储空间的说明，包括了如何创建、怎么选择空间模式、RAID 5 硬盘故障后的更换、系统更换/重装后数据盘的恢复等等。在VMware中新建虚拟机，安装好fnNAS后，再向虚拟机添加“已有硬盘”（这就是所谓崩溃虚拟机的数据盘），此时新的fnNAS出现提示。在“选择要添加的硬盘”中，选择刚添加硬盘。
HoRain云--Java序列化
《》《
Open3D——RANSAC 三维点云空间直线拟合【2025最新版】
使用RANSAC算法在点云数据中拟合三维空间直线的python代码实现。博客长期更新，本文最新更新时间为：2025年3月23日。
CodeQL新语法与API深度解析：提升Java代码安全检测效率
静态代码分析（SAST）是保障软件安全的重要技术手段，它通过分析源代码或编译后的代码，在不运行程序的情况下发现潜在的安全漏洞。其核心原理是构建代码的抽象语法树（AST）并进行数据流分析，追踪变量和值的传播路径，从而识别出从用户输入点到危险操作点的风险链路。这项技术的价值在于能够在开发早期自动化地发现漏洞，实现安全左移，降低修复成本。在Java等复杂语言生态中，由于框架多样、代码结构复杂，传统SAST工具往往面临高误报和漏报的挑战。CodeQL作为先进的声明式查询语言，通过引入新语法和增强API，显著降低了编
锂电池充电器电路设计 里面有电路
锂电池充电器电路设计 里面有电路 3.7V升压到5V电路设计。
IMSL CNL 7.0.0 (x86-64)Crack
IMSL CNL 7.0.0 (x86-64)Crack intel的算法库破解文件，这是C++版本的破解文件
深度剖析Apache Dubbo 3.3.0序列化安全：从机制到异常处理全实践
你是否知道，一个未防护的序列化接口可能导致整个分布式系统瘫痪？2024年某电商平台因Hessian2反序列化漏洞导致的服务雪崩事件，直接造成千万级损失。Apache Dubbo作为国内最主流的分布式服务框架，其3.3.x版本在序列化安全机制上实现了革命性升级。本文将带你掌握： - 3种核心序列化框架的安全特性对比 - 5步完成生产级安全配置 - 7类常见异常的诊断与修复方案 ## 二、Dubbo...
精雕软件(JDpaint) 5.5 绿色版
精雕软件(JDpaint) 5.5 绿色版精雕软件(JDpaint) 5.5 绿色版精雕软件(JDpaint) 5.5 绿色版
Python机器学习：从零基础到项目实战
当您翻开此书，您正踏入一场数据与智慧的修行。机器学习，并非冰冷的符码，而是机器模拟人类洞察世界的法门。本书将带您，以Python为舟，泛游于算法之海。我们不只传授“术”，更探求其后的“道”——从数据的生灭流转中观照规律，于模型的迭代演进里体悟得失。愿您合上书卷时，收获的不仅是驾驭数据的技能，更有一双洞悉复杂、化繁为简的“智慧之眼”。现在，让我们一同启程。
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
404
扫一扫
