2024-10-26 C3P0合集 C3P0 java 框架漏洞 C3P0是一个开源的JDBC连接池,它实现了数据源和JNDI绑定,目前使用它的开源项目有Hibernate,Spring等。 连接池类似于线程池,在一些情况下我们会频繁地操作数据库,此时Java在连接数据库时会频繁地创建或销毁句柄,增大资源
2024-10-25 fastjson jackson getter setter和constructor的区分 fastjsonjackson java 框架漏洞 以下均指对json的反序列化过程 setterfastjson调用setter:遍历所有方法,找出所有满足setter要求的方法,再根据传入的json去反射调用 jackson调用setter:直接对传入的json中的字段拼接上set,然后
2024-10-24 fastjson $ref调用getter fastjson java 框架漏洞 之前有分析到,fastjson识别setter的流程如下: 按以下顺序判断,满足条件的话,会被当成setter调用: set开头,参数长度为1,非static,方法名总长度大于3 没有setter方法,有字段是bool类型,则用is加上首
2024-10-21 Groovy漏洞 Groovy java 框架漏洞 Groovy 是一种基于 Java 平台的面向对象语言。 pom.xml: 12345<dependency> <groupId>org.codehaus.groovy</groupId&g
2024-10-15 jackson 反序列化合集 jackson java 框架漏洞 想不到2017的链子我还在复现 反序列化条件达到以下任意一个条件,可以反序列化指定类: 开启了enableDefaultTyping()四个的任意一个设置,不过不同设置能反序列化的范围不同,trick也不同(不过范围最小的JAVA_LAN
2024-10-14 spEL表达式注入 SPEL表达式注入 java java杂谈 学C3P0不会jackson,然后滚去学jackson了 学jackson不会spEL,然后滚去学spEL了 学SpEL不会spring,然后滚来学spring了 springspring提供了很多种从xml文件实例化bean的方法。虽然这
2024-10-13 spring一文入门 spring java java杂谈 Spring转载自https://www.yuque.com/5tooc3a/jas/vwovvqh6w86ifrye# 1.什么是Spring他是一个设计层面的框架,极大的简化了开发—java程序员的春天 然后了解其核心是控制反转(IOC
2024-10-11 jackson 反序列化(纯流程无POC) jackson java 框架漏洞 pom.xml: 123456789101112131415<dependency> <groupId>com.fasterxml.jackson.core</groupId> <art
2024-10-08 fastjson JNDI+不出网BCEL BCELfastjson java 框架漏洞 回想fastjson获取setter方法的部分 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748for (Meth
2024-10-06 fastjson parseObject分析(纯流程无POC) fastjson java 框架漏洞 FastJson 是阿里巴巴的开源 JSON 解析库,它可以解析 JSON 格式的字符串,支持 javaBean 序列化为 JSON 字符串,也可以从 JSON 字符串反序列化到 javabean 特点就是快,性能好,也就是因为此,Fast