2024-10-13 spring一文入门 spring java java杂谈 Spring转载自https://www.yuque.com/5tooc3a/jas/vwovvqh6w86ifrye# 1.什么是Spring他是一个设计层面的框架,极大的简化了开发—java程序员的春天 然后了解其核心是控制反转(IOC
2024-10-11 jackson 反序列化(纯流程无POC) jackson java 框架漏洞 pom.xml: 123456789101112131415<dependency> <groupId>com.fasterxml.jackson.core</groupId> <art
2024-10-08 fastjson JNDI+不出网BCEL BCELfastjson java 框架漏洞 回想fastjson获取setter方法的部分 123456789101112131415161718192021222324252627282930313233343536373839404142434445464748for (Meth
2024-10-06 fastjson parseObject分析(纯流程无POC) fastjson java 框架漏洞 FastJson 是阿里巴巴的开源 JSON 解析库,它可以解析 JSON 格式的字符串,支持 javaBean 序列化为 JSON 字符串,也可以从 JSON 字符串反序列化到 javabean 特点就是快,性能好,也就是因为此,Fast
2024-09-26 ROME链(ToStringBean&EqualsBean) ROME java 框架漏洞 ROME 是一个关于 RSS 和 Atom 格式的 java 框架 那什么是 RSS 和 Atom 呢? RSS 全称:RDF Site Summary 或 Really Simple Syndication,中文翻译为简易信息聚合,也叫做
2024-09-25 JNDI注入(InitialContext.lookup) JNDIjava原生RCE java RMI JNDI是一种命名服务,全称叫Java Naming and Directory Interface 开发者可以讲JNDI API映射为特定的命名服务和目录系统。 单纯的文字讲着可能很抽象,来看case RMI中,提供一个远程对象,并在客户
2024-09-23 loadClass和forName加载数组类 类加载 java java杂谈 在打shiro的时候,我们发现不能用Transformer数组,而能用byte[]数组,这是为甚? 原文: https://godownio.github.io/2024/08/06/shiro-fan-xu-lie-hua-shen-j
2024-09-20 RMI三端源码分析&JRMP及其高版本绕过 java原生RCE java RMI 说实话我每次看到RMI的流程我都觉得脑袋疼。而且分析完了都不记得分析了个什么鸟。 或许这次会好一点。 RMI远程类调用RMI的作用就是客户端调用服务端的远程类。 我们开两个项目,一个做客户端,一个做服务端。用jdk8u65 RMIServe
2024-09-18 7u21&8u20反序列化 java原生RCE java other漏洞 仅需JDK在指定版本,有反序列化入口,但无需其他的依赖包比如CC,CB能否直接打入反序列化? 其中一个答案就是java原生反序列化链JDK7u21 jdk7u21原生反序列化没有CC依赖,那之前的InvokerTransformer,cha
2024-08-06 Shiro550 URLDNS&CC&CB攻击 Shiro java 框架漏洞 Shiro550环境搭建:123git clone https://github.com/apache/shiro.gitcd shirogit checkout shiro-root-1.2.4 //切换到1.2.4版本 修改sampl