随笔分类 -  Java

上一页 1 2 3 4 5 6 下一页
Java学习之Thymeleaf使用
摘要：Java学习之Thymeleaf使用 0x00 前言 为了后续的代码审计一些常用的框架和技术都是有必要了解一下，在此重拾Spring Boot等开发知识内容。 0x01 Thymeleaf简介 Thymeleaf是一个现代的服务器端Java模板引擎的web和独立的环境，能够处理HTML, XML, 阅读全文
posted @ 2021-02-04 19:46 nice_0e3 阅读(1034) 评论(0) 推荐(0)
Java安全之ysoserial-JRMP模块分析（一）
摘要：Java安全之ysoserial-JRMP模块分析（一） 首发安全客：Java安全之ysoserial-JRMP模块分析（一） 0x00 前言 在分析到Weblogic后面的一些绕过方式的时候，分析到一半需要用到ysoserial-JRMP该模块。不止是Weblogic的反序列化漏洞会利用到，其他的 阅读全文
posted @ 2021-01-27 10:26 nice_0e3 阅读(2684) 评论(2) 推荐(0)
Java安全之Weblogic 2018-3248分析
摘要：Java安全之Weblogic 2018-3248分析 0x00 前言 基于前面的分析，后面的还是主要看补丁的绕过方式，这里就来简单的记录一下。 0x01 补丁分析 先来看看补丁细节 private static final String[] DEFAULT_BLACKLIST_PACKAGES = 阅读全文
posted @ 2021-01-21 19:52 nice_0e3 阅读(401) 评论(0) 推荐(0)
Java 安全之Weblogic 2018-2628&2018-2893分析
摘要：Java 安全之Weblogic 2018-2628&2018-2893分析 0x00 前言 续上一个weblogic T3协议的反序列化漏洞接着分析该补丁的绕过方式，根据weblogic的补丁还是挺难找的，后面的分析中没有补丁看不到weblogic修复的细节，但是也不难猜处weblogic的这些修 阅读全文
posted @ 2021-01-19 02:19 nice_0e3 阅读(762) 评论(9) 推荐(0)
Java安全之RMI协议分析
摘要：Java安全之RMI协议分析 0x00 前言 在前面其实有讲到过RMI，但是只是简单描述了一下RMI反序列化漏洞的利用。但是RMI底层的实现以及原理等方面并没有去涉及到，以及RMI的各种攻击方式。在其他师傅们的文章中发现RMI的攻击方式很多。 所以在此去对RMI的底层做一个分析，后面再去对各种攻击方 阅读全文
posted @ 2021-01-15 04:56 nice_0e3 阅读(3315) 评论(1) 推荐(1)
Java 安全之Weblogic 2017-3248分析
摘要：Java 安全之Weblogic 2017-3248分析 0x00 前言 在开头先来谈谈前面的绕过方式，前面的绕过方式分别使用了streamMessageImpl 和MarshalledObject对gadgets的对象进行封装起来。其实这本质上算是同一个方式，只是利用了不同的类对他进行封装，达成绕 阅读全文
posted @ 2021-01-14 03:54 nice_0e3 阅读(1223) 评论(0) 推荐(0)
Java安全之Weblogic 2016-3510 分析
摘要：Java安全之Weblogic 2016-3510 分析 首发安全客：Java安全之Weblogic 2016-3510 分析 0x00 前言 续前面两篇文章的T3漏洞分析文章，继续来分析CVE-2016-3510漏洞，该漏洞一样是基于，前面的补丁进行一个绕过。 Java安全之初探weblogic 阅读全文
posted @ 2021-01-12 21:43 nice_0e3 阅读(982) 评论(0) 推荐(0)
Java安全之Weblogic 2016-0638分析
摘要：Java安全之Weblogic 2016-0638分析 文章首发先知：Java安全之Weblogic 2016-0638分析 0x00 前言 续上篇文的初探weblogic的T3协议漏洞，再谈CVE-2016-0638， CVE-2016-0638是基于 CVE-2015-4852漏洞的一个绕过。 阅读全文
posted @ 2020-12-29 16:45 nice_0e3 阅读(2859) 评论(5) 推荐(0)
Java安全之初探weblogic T3协议漏洞
摘要：Java安全之初探weblogic T3协议漏洞 文章首发自安全客：Java安全之初探weblogic T3协议漏洞 0x00 前言 在反序列化漏洞里面就经典的还是莫过于weblogic的反序列化漏洞，在weblogic里面其实反序列化漏洞利用中大致分为两种，一个是基于T3协议的反序列化漏洞，一个是 阅读全文
posted @ 2020-12-28 15:34 nice_0e3 阅读(6811) 评论(0) 推荐(1)
Java安全之Shiro 550反序列化漏洞分析
摘要：Java安全之Shiro 550反序列化漏洞分析 首发自安全客：Java安全之Shiro 550反序列化漏洞分析 0x00 前言 在近些时间基本都能在一些渗透或者是攻防演练中看到Shiro的身影，也是Shiro的该漏洞也是用的比较频繁的漏洞。本文对该Shiro550 反序列化漏洞进行一个分析，了解漏 阅读全文
posted @ 2020-12-24 11:44 nice_0e3 阅读(4084) 评论(1) 推荐(2)
Java安全之原生readObject方法解读
摘要：Java安全之原生readObject方法解读 0x00 前言 在上篇文章分析shiro中，遇到了Shiro重写了ObjectInputStream的resolveClass导致的一些基于InvokerTransformer去实现的利用链没法使用，因为这需要去定义一个InvokerTrans数组,而 阅读全文
posted @ 2020-12-13 09:24 nice_0e3 阅读(7706) 评论(1) 推荐(2)
Java安全之Unsafe类
摘要：Java安全之Unsafe类 0x00 前言 前面使用到的一些JNI编程和Javaagent等技术，其实在安全里面的运用非常的有趣和微妙，这个已经说过很多次。后面还会发现一些比较有意思的技术，比如ASM和Unsafe这些。这下面就先来讲解Unsafe这个类的使用和实际当中的一些运用场景。 0x01 阅读全文
posted @ 2020-12-08 15:28 nice_0e3 阅读(1302) 评论(0) 推荐(1)
Java 安全之Java Agent
摘要：Java 安全之Java Agent 0x00 前言 在前面发现很多技术都会去采用Java Agent该技术去做实现，比分说RASP和内存马（其中一种方式）、包括IDEA的这些破解都是基于Java Agent去做实现。下面来领略该技术的微妙所在。 0x01 Java Agent 机制 在JDK1.5 阅读全文
posted @ 2020-12-04 15:40 nice_0e3 阅读(3355) 评论(0) 推荐(0)
Java安全之JNI绕过RASP
摘要：Java安全之JNI绕过RASP 0x00 前言 前面一直想看该JNI的相关内容，但是发现JNI的资料还是偏少。后面发现JNI在安全中应用非常的微妙，有意思。 0x01 JNI概述 JNI的全称叫做（Java Native Interface），其作用就是让我们的Java程序去调用C的程序。实际上调 阅读全文
posted @ 2020-12-01 11:40 nice_0e3 阅读(2543) 评论(2) 推荐(0)
Java学习之Swing Gui编程
摘要：Java学习之Swing Gui编程 0x00 前言 前面的使用的Gui是基于Awt 去进行实现，但是在现实写Gui中 AWT实际运用会比较少。 上篇：Java学习之AWT GUI编程 上上篇：Java安全之JSP动静态免杀思路实现与服务端编写 0x01 Swing 概述 AWT 和Swing 区别 阅读全文
posted @ 2020-11-25 11:02 nice_0e3 阅读(2538) 评论(0) 推荐(2)
Java安全之Commons Collections4分析
摘要：Java安全之Commons Collections4分析 文章首发：Java安全之CC4分析 0x00 前言 继续来分析一波CC4的链，在写该文前，看到网上大部分的文章都只给了一个调用链和POC。其实看CC4调用链的时候，能看出来CC4的调用链用到的也是前面的一些类去构造，只不过把CC2 和CC3 阅读全文
posted @ 2020-11-24 20:56 nice_0e3 阅读(2253) 评论(0) 推荐(1)
Java安全之Jdk7u21链分析
摘要：Java安全之Jdk7u21链分析 文章首发：Java安全之Jdk7u21链分析 0x00 前言 其实该链是想拿到后面再去做分析的，但是学习到Fastjson这个漏洞，又不得不使用到该链。那么在这里就来做一个简单的分析。 在前面分析的利用链中，其实大致都差不多都是基于InvokerTransform 阅读全文
posted @ 2020-11-23 20:32 nice_0e3 阅读(1123) 评论(0) 推荐(0)
Java学习之AWT GUI编程
摘要：Java学习之AWT GUI编程 0x00 前言 既然前面提到了要重写冰蝎和一些反序列化工具，当然就不能随便说说而已。在编写这些工具还是要使用图形化工具来的方便一些，所以提前把GUI的框架给学习一遍。 其实重写webshell工具这个也就是实现部分，现在就差个gui框架。 这里其实是已经完善了单向加 阅读全文
posted @ 2020-11-20 00:20 nice_0e3 阅读(979) 评论(0) 推荐(0)
Java安全之JSP动静态免杀思路实现与服务端编写
该文被密码保护。
posted @ 2020-11-18 11:33 nice_0e3 阅读(0) 评论(0) 推荐(0)
Java安全之JNDI注入
摘要：Java安全之JNDI注入 文章首发：Java安全之JNDI注入 0x00 前言 续上篇文内容，接着来学习JNDI注入相关知识。JNDI注入是Fastjson反序列化漏洞中的攻击手法之一。 0x01 JNDI 概述 JNDI(Java Naming and Directory Interface,J 阅读全文
posted @ 2020-11-11 12:02 nice_0e3 阅读(14283) 评论(0) 推荐(5)

上一页 1 2 3 4 5 6 下一页