反序列化漏洞学习笔记（三）

最新推荐文章于 2025-12-12 11:44:16 发布
原创 最新推荐文章于 2025-12-12 11:44:16 发布 · 133 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#学习 #笔记

此文章简单通俗易懂：

PHP反序列化字符逃逸学习

反序列化漏洞

字符串逃逸基础

反序列化分隔符

反序列化以:}结束，后面的字符串不影响正常的反序列化

属性逃逸

一般在数据先经过一次serialize 再经过unserialize，在这个中间反序列化的字符串变多或者变少的时候又肯存在反序列化属性逃逸
请添加图片描述请添加图片描述
请添加图片描述
请添加图片描述

减少

system()

反序列化字符串减少逃逸：多逃逸出一个成员属性
第一个字符串减少，吃掉有效代码，在第二个字符串构造代码
请添加图片描述请添加图片描述
在这里插入图片描述
在这里插入图片描述

增多

反序列化字符串增多逃逸：多逃逸出一个成员属性
第一个字符串增多，吐掉有效代码，在第二个字符串构造代码

请添加图片描述
在这里插入图片描述在这里插入图片描述在这里插入图片描述

不能不通
关注
No.28 笔记 | 反序列化漏洞学习总结
聚焦网络安全，以多元语言优势汲取知识，分享生动有趣的学习与技术心得。
12-25 1130
序列化：将对象转换为字节流，便于在内存、文件、数据库中存储，保证对象完整性与可传递性。例如，把一个包含用户信息（姓名、年龄等）的对象序列化为字节流后，可以方便地进行存储或传输。反序列化：是序列化的逆过程，依据字节流中的对象状态及描述信息重建对象。比如，从存储介质中读取字节流并还原为原始对象。应用场景：广泛应用于远程和进程间通信（RPC/IPC）、连线协议、Web服务、消息代理、缓存/持久性存储区、数据库、缓存服务器、文件系统、HTTP cookie、HTML表单参数、API身份验证令牌等场景。
Java 反序列化漏洞 学习笔记
cjdgg的博客
12-22 1271
Java 反序列化漏洞 学习笔记前言什么是 Java 序列化 / 反序列化实现反序列化需要满足的条件Serializable 前言 Java的反序列化漏洞我感觉应该是比较常见而且危害较大的漏洞，而Java 反序列化技术大量应用于 JRMI( Java远程方法调用 ) , JMX( Java管理扩展 ) , JMS( Java消息服务 ) 中，因此 Java RMI 服务也算是 Java 反序列化漏洞的高发地 ，而前面也学过了Java RMI相关的知识，今天就来学一下Java 反序列化漏洞相关原理 什么是 J
Python 反序列化漏洞学习笔记
pythonputao的博客
12-10 401
前言 Python 中有很多能进行序列化的模块，比如 Json、pickle/cPickle、Shelve 、 Marshal 一般 pickle 模块较常使用 在 pickle 模块中 , 常用以下四个方法 pickle.dump(obj, file) : 将对象序列化后保存到文件 pickle.load(file) : 读取文件， 将文件中的序列化内容反序列化为对象 pickle.dumps(obj) : 将对象序列化成字符串格式的字节流 pickle.loads(bytes_obj) :
typecho反序列化漏洞学习笔记
Abc_Kimball的博客
01-31 824
什么是序列化？ 百度百科： 将对象的状态信息转换为可以存储或传输形式的过程（字符串）。在序列化期间，对象将其当前的状态写入到临时（内存）或持久性存储区（硬盘）。以后可以通过从存储区中读取或者反序列化对象状态，重新创建状态。 简单来讲，序列化就是把一个对象变成可传输的字符串，可以以特定的格式在进程之间跨平台、安全的进行通信。字符串包括，属性名，属性值，属性类型和该对象对应的类名。 对象的序列化利于对象的 保存和传输 ，也可以让多个文件共享对象。将用户存储到临时或硬盘中（数据库），可以理解为一个拍快照，通常使用
Shiro反序列化漏洞利用笔记
shuux666的博客
04-07 1375
Shiro反序列化漏洞利用笔记 Apache Shiro是一个强大且易用的Java安全框架，执行身份验证、授权、密码和会话管理。目前在Java web应用安全框架中，最热门的产品有Spring Security和Shiro，二者在核心功能上几乎差不多，但Shiro更加轻量级，使用简单、上手更快、学习成本低，所以Shiro的使用量一直高于Spring Security。产品用户量之高，一旦爆发漏洞波及范围相当广泛，研究相关漏洞是很有必要的。 一、Shiro反序列化漏洞 1.1 安全框架 Apache Sh
java反序列化漏洞之cc1链学习笔记
2302_79724763的博客
11-09 1370
java反序列化漏洞cc1链过程java动态代理放射学习
反序列化漏洞学习笔记（一）
cc777777777的博客
04-15 242
1
反序列化漏洞学习笔记（二）
cc777777777的博客
04-15 164
反序列化漏洞学习笔记（二）
java rmi反序列化靶场_反序列化漏洞学习笔记+靶场实战
weixin_34170028的博客
02-25 1162
反序列化漏洞学习笔记+靶场实战反序列化漏洞相关知识点：(引自 i春秋网络安全学院文章)什么是反序列化：摘自维基百科：序列化(serialization)在计算机科学的数据处理中，是指将数据结构或对象状态转换成可取用格式(例如存成文件，存于缓冲，或经由网络中发送)，以留待后续在相同或另一台计算机环境中，能恢复原先状态的过程。概念很容易理解，其实就是将数据转化成一种可逆的数据结构，自然，逆向的过程就叫...
Java漏洞学习笔记 反序列化漏洞.zip
11-25
Java学习漏洞Java漏洞学习代码及笔记项目TODO剩余代码完善漏洞使用和分析笔记准备中目前文章分析地址在每个包下package-info.javaJava反序列化Java 应用程序Java类加载shiro资本分析weblogic缓存分析快三平台jackson...
【漏洞复现】Shiro 反序列化漏洞
2301_80115097的博客
11-08 2730
Apache Shiro是一款开源安全框架，提供身份验证、授权、密码学和会话管理。Shiro框架直观、易用，同时也能提供健壮的安全性。Apache Shiro 1.2.4及以前版本中，加密的用户信息序列化后存储在名为remember-me的Cookie中。攻击者可以使用Shiro的默认密钥伪造用户Cookie，触发Java反序列化漏洞，进而在目标机器上执行任意命令。该款工具特别适合初学者，配置了各种OA漏洞利用板块，还有shiro、struts2等框架漏洞的漏洞利用板块，还有一键执行命令的功能！！
Fastjson反序列化漏洞部署复现1.2.24版本反序列RCE笔记
weixin_51339377的博客
11-09 1199
但是mvn clean package -DskipTests执行需要一个环境变量JAVA_HOME，且对应的地址是jdk文件夹，不带bin。之后rmi服务器从kali的4444端口去取恶意类 返回给rmi服务器 rmi服务器再返回给8090的fastjson执行。总结：所有的java的jdk jre也好 全都直接在path中设置绝对路径。最终通过刚才的工具 启动一个rmi服务器 加载刚才设置的恶意类。设置ip地址为可以访问到的 通过http进行访问测试。会先通过rmi请求到win10的rmi服务器。
学习离线处理 [CSP-J 2022 山东] 部署
SHOJYS的博客
12-09 744
所谓离线, 就是等你操作完了后再问你问题, 每一次操作时间复杂度可能很大, 我们可以把操作堆起来最后一遍完成.我们记录完之后, 就是要统计答案了. 我们不妨先思考操作二该怎么统计., 而对于其子节点和祖先而言, 兵力都要增加。我们不妨记录两个内容, 一个是操作一在节点。最后展示总代码, 当然肯定与上述有部分出入.. 但问题来了, 它的子树都要增加。要求增加的兵, 不妨将其设为。要求增加的兵, 不妨将其设为。我们再思考操作一该怎么统计.而言, 其增加的兵力就是。而言, 其兵力增加就是。我们首先记录所有操作,
学习笔记095——Ubuntu 安装 lrzsz 服务？
code__bee的博客
12-10 356
lrzsz是一款基于协议的文件传输工具集，专门用于在终端环境下实现本地与远程服务器之间的文件上传和下载，是 Linux/Unix 运维和开发场景中常用的轻量级工具。
周学习记录
qq_61434514的博客
12-08 311
看了三篇论文，准备对RDD进行复现。下周计划继续看一定论文数，对RDD进行复现。
Kamailio的学习
最新发布
2301_79965178的博客
12-12 344
摘要：本文详细介绍了Kamailio SIP服务器的架构与配置。Kamailio是一款支持高并发、多协议的高性能SIP服务器，采用模块化设计，包含150多个功能模块。文章从配置文件结构（全局参数、模块设置、路由区块）入手，深入解析其多进程模型、Epoll多路复用机制、共享内存和锁定系统等底层实现。重点阐述了Kamailio处理SIP消息的完整流程，包括请求/响应处理、进程间通信等核心机制，并展示了通过kamcmd命令查看进程状态的实践示例。
防爆标识学习
qincjun的博客
12-08 300
设备保护等级:Equipment Protection Level 其实是指设备能应用在哪一个区域；防爆:指这个设备可以在有或可能有可燃或爆炸性的气体蒸气、粉尘等环境中使用。粉尘用G表示，矿井用M表示，气体用G表示。a.b.c.用于表示零区，一区，二区.Ga:比设备可用于爆炸性气体零区；
KM-ViPE 论文学习
calvinpaean的博客
12-08 1046
本文提出了一个名为 KM-ViPE（知识映射视频姿态引擎）​ 的新系统。传统 SLAM 的局限内容单一：传统SLAM（基于点、线、面等几何基元）只能重建几何结构，缺乏语义信息（不知道物体是什么）。场景脆弱：在动态环境中，运动物体会破坏帧与帧之间的数据关联，导致系统性能严重下降甚至失效。KM-ViPE 旨在克服这些限制。KM-ViPE 的核心创新与特点如下输入要求极低：​ 仅需单个普通RGB摄像头的原始视频流，无需深度传感器，也无需事先对相机进行参数标定。
Spring整合MyBatis-Pluss 部分课堂学习笔记
2301_81440348的博客
12-09 931
这种写法是MyBatis-Plus 简化 Service 层开发的标准用法继承→ 自动获得通用 CRUD 实现；实现自定义Service接口 → 规范业务方法，支持自定义逻辑。@Autowired的核心是“自动装配”，让 Spring 帮你管理对象的依赖关系，不用手动 new 对象，是 Spring 实现 “解耦” 和 “控制反转（IOC）” 的关键注解之一。Mapper不也是接口，不是说接口不能注册为bean你这个问题问到了核心！BookMapper确实是接口，但它能被@Autowired。
Oracle WebLogic反序列化漏洞官方补丁指南
描述中提到的“weblogic反序列化漏洞官方解决方案”指的是Oracle针对WebLogic Server中的一个特定安全漏洞所发布的官方修复补丁。反序列化漏洞是一种常见的安全风险，它发生在应用程序反序列化数据时，攻击者通过...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值