- 博客(4)
- 收藏
- 关注
RSS订阅原创 Strust2命令执行漏洞
1、 OGNL表达式是Object-Graph Navigation Language的缩写，是一种功能强大的表达式语言，通过简单一致的表达式语法，可以存取对象的任意属性，调用对象的方法，遍历整个对象的结构图，实现字段类型转换。Struts2的action:、redirect:和redirectAction:前缀参数在实现其功能的过程中使用了Ognl表达式，并将用户通过URL提交的内容拼接入Ognl表达式中，从而造成攻击者可以通过构造恶意URL来执行任意Java代码，进而可执行任意命令。
2024-02-20 22:08:59
1951
1
原创 Shiro反序列化漏洞
1、简介Apache Shiro框架是一个功能强大且易于使用的 Java 安全框架，它执行身份验证、授权、加密和会话管理。借助 Shiro 易于理解的 API，您可以快速轻松地保护任何应用程序——从最小的移动应用程序到最大的 Web 和企业应用程序。2、原理Apache Shiro框架提供了记住密码的功能（RememberMe），用户登录成功后会将用户信息加密，加密过程:用户信息=>序列化=>AES加密=>base64编码=>RememberMe Cookie值。
2024-02-20 21:38:40
1054
原创 Log4j远程代码执行漏洞环境搭建及复现
Log4j2 是一个用于 Java 应用程序的成熟且功能强大的日志记录框架。它是 Log4j 的升级版本，相比于 Log4j，Log4j2 在性能、可靠性和灵活性方面都有显著的改进。
2024-02-20 20:15:52
1932
原创 Fastjson反序列化漏洞——fastjson RCE漏洞的源头(1.2.24-rce)
FastJson是alibaba的一款开源JSON解析库，可用于将Java对象转换为其JSON表示形式，也可以用于将JSON字符串转换为等效的Java对象。近几年来fastjson漏洞层出不穷，本文将谈谈近几年来fastjson RCE漏洞的源头：17年fastjson爆出的1.2.24反序列化漏洞。以这个漏洞为基础，详细分析fastjson漏洞的一些细节问题。
2024-02-20 19:54:22
1178
1
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人