Morphoko

2026年4月20日

摘要：描述: Apache Shiro是一个强大易用的Java安全框架，提供了认证、授权、加密和会话管理等功能。Shiro框架直观、易用，同时也能提供健壮的安全性 Apache Shiro框架提供了记住密码的功能（RememberMe），用户登录成功后会生成经过加密并编码的cookie。在服务端对reme 阅读全文

posted @ 2026-04-20 18:53 Morphoko 阅读(10) 评论(0) 推荐(0)

shiro 反序列化（CVE-2016-4437）

摘要：描述: Apache Shiro是美国阿帕奇（Apache）软件基金会的一套用于执行认证、授权、加密和会话管理的Java安全框架。 Apache Shiro默认使用了CookieRememberMeManager，其处理cookie的流程是：得到rememberMe的cookie值 > Base64 阅读全文

posted @ 2026-04-20 18:19 Morphoko 阅读(9) 评论(0) 推荐(0)

2026年4月18日

tomcat 代码执行 (CVE-2020-1938)

摘要：描述: Tomcat 是一个小型的轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。该漏洞是由于Tomcat AJP协议存在缺陷而导致，攻击者利用该漏洞可通过构造特定参数，读取服务器webapp下的任意文件。若目标服务器同时存在文件上传功能，攻阅读全文

posted @ 2026-04-18 13:34 Morphoko 阅读(11) 评论(0) 推荐(0)

tomcat 文件上传 (CVE-2017-12615)

摘要：描述: Tomcat 是一个小型的轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。攻击者将有可能可通过精心构造的攻击请求数据包向服务器上传包含任意代码的 JSP 的webshell文件，JSP文件中的恶意代码将能被服务器执行，导致服务器上的数阅读全文

posted @ 2026-04-18 11:39 Morphoko 阅读(8) 评论(0) 推荐(0)

2026年4月17日

tomcat-pass-getshell 弱口令

摘要：描述: Tomcat是Apache 软件基金会（Apache Software Foundation）的Jakarta 项目中的一个核心项目，由Apache、Sun 和其他一些公司及个人共同开发而成。通过弱口令登录后台，部署war包geshell 参考：tomcat弱口令后台getshell漏洞复阅读全文

posted @ 2026-04-17 22:43 Morphoko 阅读(7) 评论(0) 推荐(0)

apache httpd 后缀解析

摘要：描述: Apache HTTPD 支持一个文件拥有多个后缀，并为不同后缀执行不同的指令。那么，在有多个后缀的情况下，只要一个文件含有.php后缀的文件即将被识别成PHP文件，没必要是最后一个后缀。利用这个特性，将会造成一个可以绕过上传白名单的解析漏洞。上传文件抓包，修改文件名后缀为多后缀能够被当阅读全文

posted @ 2026-04-17 22:27 Morphoko 阅读(9) 评论(0) 推荐(0)

apache 文件上传 (CVE-2017-15715)

摘要：描述: Apache(音译为阿帕奇)是世界使用排名第一的Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上，由于其跨平台和安全性被广泛使用，是最流行的Web服务器端软件之一。此漏洞的出现是由于 apache 在修复第一个后缀名解析漏洞时，用正则来匹配后缀。在解析 php 时 xxx.ph 阅读全文

posted @ 2026-04-17 22:21 Morphoko 阅读(13) 评论(0) 推荐(0)

apache 远程命令执行（cve_2021_41773 ）

摘要：描述： Apache HTTP Server 2.4.49、2.4.50版本对路径规范化所做的更改中存在一个路径穿越漏洞，攻击者可利用该漏洞读取到Web目录外的其他文件，如系统配置文件、网站源码等，甚至在特定情况下，攻击者可构造恶意请求执行命令，控制服务器。构造路径可以任意文件读取抓包修改方式和阅读全文

posted @ 2026-04-17 22:03 Morphoko 阅读(9) 评论(0) 推荐(0)

apache 远程代码执行（CVE-2021-42013）

摘要：描述: Apache HTTP Server是美国阿帕奇（Apache）基金会的一款开源网页服务器。该服务器具有快速、可靠且可通过简单的API进行扩充的特点，发现 Apache HTTP Server 2.4.50 中针对 CVE-2021-41773 的修复不够充分。攻击者可以使用路径遍历攻击将阅读全文

posted @ 2026-04-17 21:46 Morphoko 阅读(14) 评论(0) 推荐(0)

h2database RCE（CVE-2022-23221）

摘要：描述： Java SQL 数据库 H2。H2的主要特点是：非常快，开源，JDBC API；嵌入式和服务器模式；内存数据库；基于浏览器的控制台应用程序。 H2 数据库控制台中的另一个未经身份验证的 RCE 漏洞，在 v2.1.210+ 中修复。2.1.210 之前的 H2 控制台允许远程攻击者通过包含阅读全文

posted @ 2026-04-17 15:34 Morphoko 阅读(24) 评论(0) 推荐(0)

公告