2024-10-24 fastjson $ref调用getter fastjson java 框架漏洞 之前有分析到,fastjson识别setter的流程如下: 按以下顺序判断,满足条件的话,会被当成setter调用: set开头,参数长度为1,非static,方法名总长度大于3 没有setter方法,有字段是bool类型,则用is加上首
2024-10-21 Groovy漏洞 Groovy java 框架漏洞 Groovy 是一种基于 Java 平台的面向对象语言。 pom.xml: 12345<dependency> <groupId>org.codehaus.groovy</groupId&g
2024-10-15 jackson 反序列化合集 jackson java 框架漏洞 想不到2017的链子我还在复现 反序列化条件达到以下任意一个条件,可以反序列化指定类: 开启了enableDefaultTyping()四个的任意一个设置,不过不同设置能反序列化的范围不同,trick也不同(不过范围最小的JAVA_LAN
2024-10-14 spEL表达式注入 SPEL表达式注入 java java杂谈 学C3P0不会jackson,然后滚去学jackson了 学jackson不会spEL,然后滚去学spEL了 学SpEL不会spring,然后滚来学spring了 springspring提供了很多种从xml文件实例化bean的方法。虽然这
2024-10-13 spring一文入门 spring java java杂谈 Spring转载自https://www.yuque.com/5tooc3a/jas/vwovvqh6w86ifrye# 1.什么是Spring他是一个设计层面的框架,极大的简化了开发—java程序员的春天 然后了解其核心是控制反转(IOC
2024-10-11 jackson 反序列化(纯流程无POC) jackson java 框架漏洞 pom.xml: 123456789101112131415<dependency> <groupId>com.fasterxml.jackson.core</groupId> <art
2024-10-08 fastjson JNDI+不出网BCEL BCELfastjson java 框架漏洞 回想fastjson获取setter方法的部分 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748for (Meth
2024-10-06 fastjson parseObject分析(纯流程无POC) fastjson java 框架漏洞 FastJson 是阿里巴巴的开源 JSON 解析库,它可以解析 JSON 格式的字符串,支持 javaBean 序列化为 JSON 字符串,也可以从 JSON 字符串反序列化到 javabean 特点就是快,性能好,也就是因为此,Fast
2024-09-26 ROME链(ToStringBean&EqualsBean) ROME java 框架漏洞 ROME 是一个关于 RSS 和 Atom 格式的 java 框架 那什么是 RSS 和 Atom 呢? RSS 全称:RDF Site Summary 或 Really Simple Syndication,中文翻译为简易信息聚合,也叫做
2024-09-25 JNDI注入(InitialContext.lookup) JNDIjava原生RCE java RMI JNDI是一种命名服务,全称叫Java Naming and Directory Interface 开发者可以讲JNDI API映射为特定的命名服务和目录系统。 单纯的文字讲着可能很抽象,来看case RMI中,提供一个远程对象,并在客户