07 2023 档案

二次反序列化
摘要：2023巅峰极客BabyURL 题目给了jar包，反编译以后项目结构： ![](https://img2023.cnblogs.com/blog/2062495/202307/2062495-20230730224948024-1329114414.png) 在IndexController里有反序 阅读全文
posted @ 2023-07-30 22:54 ordigard 阅读(379) 评论(0) 推荐(0)
初探Java反序列化
摘要：#### 1.缘起 在Java中，序列化是将对象转换成数据字节流，反序列化是将数据字节流转换成对象。由于Java的开发生态里各种第三方库组件相互依赖，当Java开发中常用的基础底层组件出现安全问题时，就会导致大量基于这些底层库构建的上游应用受到威胁。反序列化漏洞是在各种Java基础底层库里常见的漏洞 阅读全文
posted @ 2023-07-24 16:45 ordigard 阅读(146) 评论(0) 推荐(0)
原型链污染
摘要：JavaScript里只有对象的概念，每个对象都有一个私有属性指向另一个名为原型（prototype）的对象。原型对象也有自己的原型，层层向上直到一个对象的原型为null。null没有原型，是原型链（prototype chain）的最后一个节点。 ### \_\_proto\_\_和prototy 阅读全文
posted @ 2023-07-16 22:12 ordigard 阅读(231) 评论(0) 推荐(0)
phar反序列化
摘要：#### 1.什么是phar phar是PHP中的一种打包文件，一个应用程序可以打成一个phar包。一个php程序可以打成一个phar包，放到php-fpm中运行。 #### 2.phar文件结构 1. stub：`xxx`，前面的内容不限，但是必须以`__HALT_COMPILER();?>`结尾 阅读全文
posted @ 2023-07-07 16:21 ordigard 阅读(998) 评论(0) 推荐(0)